توطين البيانات في السعودية: أي البيانات تبقى في المملكة، وأين يمكن أن تعمل

إقامة البيانات تعني المكان الفعلي الذي توجد فيه البيانات: الدولة التي يقع فيها مركز البيانات الذي يحفظها، والأنظمة التي تعالجها. أما توطين البيانات فهو اشتراط أن يبقى بعضها داخل دولة بعينها. وفي السعودية يأتي السؤالان معًا في كل شراء تقريبًا لخدمة سحابية أو برنامج أو أداة رصد، ويأتيان غالبًا من فريق الأمن أو الامتثال، وغالبًا في وقت متأخر.

لا توجد صفحة عامة تذكر لكل منشأة البيانات التي يجب أن تبقى في المملكة. والجواب يُجمع من أربعة مصادر، ويستحق كل منها أن يُقرأ في نص الجهة نفسها لا في ملخص عنه.

• تصنيف البيانات لديكم. يصدر مكتب إدارة البيانات الوطنية التابع لسدايا معايير إدارة البيانات الوطنية، ومنها تصنيف البيانات. وفي سياسة التصنيف تأخذ كل فئة مستواها، وعلى المستوى تُبنى أغلب قرارات الاستضافة.
• ضوابط الهيئة الوطنية للأمن السيبراني التي في نطاقكم. تصدر الهيئة الوطنية للأمن السيبراني الضوابط الأساسية للأمن السيبراني، وللحوسبة السحابية ضوابط الأمن السيبراني للحوسبة السحابية (CCC)، وقد أعدّتها الهيئة امتدادًا للضوابط الأساسية، وإصدارها الحالي في قائمة الهيئة CCC-2:2024. أما هل تنطبق عليكم، وماذا تقول عن الاستضافة، ففي النص الحالي. ويشرح دليلنا عن الضوابط الأساسية للأمن السيبراني كيف يُوصف النطاق.
• أحكام البيانات الشخصية. تشرف سدايا على نظام حماية البيانات الشخصية، وتنشر لائحة نقل البيانات الشخصية إلى خارج المملكة، وهي التي تحدد شروط إرسال البيانات الشخصية إلى الخارج. ويتناول دليلنا عن نظام حماية البيانات الشخصية النظام في خطوطه العامة.
• قطاعكم وعقودكم. قد تضع جهة منظمة لقطاعكم، أو عميل حكومي، أو عقد، شروطًا أشد من الأحكام العامة. فاطلبوا من المسؤول عن الامتثال لديكم القائمة التي تنطبق عليكم.

ولا ننقل هنا أرقام الضوابط ولا المواد، لأنها تُراجع من حين لآخر، والنقل عن الملخصات هو الطريق الذي تنتشر به المتطلبات الخاطئة. فاقرؤوا النص الحالي مع من هو مؤهل لقراءته.

روابط ذات صلةالهيئة الوطنية للأمن السيبرانيالضوابط الأساسية للأمن السيبرانيسدايانظام حماية البيانات الشخصية

أغلب فجوات إقامة البيانات ليست في قاعدة البيانات الرئيسة، بل في النسخ التي حولها.

• السجلات والتتبعات. سجلات التطبيقات نص حر، وكثيرًا ما تحمل معرّفات المستخدمين، وأرقام هوية في رسائل الأخطاء، وأسماء خوادم داخلية، ورموز دخول لم يقصد أحد كتابتها. وإرسالها إلى منصة رصد في الخارج يرسل هذا المحتوى معها.
• النسخ الاحتياطية والتعافي من الكوارث. النسخة الاحتياطية في منطقة ثانية مكان ثانٍ. فإن كان النظام الرئيس يجب أن يبقى في المملكة، فوجهة النسخ الاحتياطي تحتاج إلى الجواب نفسه.
• وصول الدعم الفني. مهندس المزوّد الذي يتصل من الخارج بنظام الإنتاج، أو يتسلّم مقتطفًا ليعيد إنتاج عطل، يعالج بيانات خارج المملكة.
• ميزات أدوات SaaS. التحليلات والبحث والمساعدات الذكية وتسجيل الجلسات قد ترسل كل منها بيانات إلى موقع المزوّد.

ولا يعني هذا تجنّب أدوات SaaS، بل يعني أن تُكتب النسخ على الخريطة نفسها التي تُكتب عليها الأنظمة.

الرصد هو المكان الذي تتوقف فيه المشاريع بسبب إقامة البيانات أكثر من غيره. فالمقاييس في أغلبها أرقام مجمّعة، والتتبعات قد تحمل معرّفات في الروابط والاستعلامات، أما السجلات فقد تحمل أي شيء.

ومثال ذلك Datadog، الذي تطبّقه إنتركي. فهو منصة SaaS، تصل بياناتها إلى موقع Datadog الذي يُختار عند إنشاء الحساب، وحتى نوفمبر 2026 لا يقع أي من مواقعه في الشرق الأوسط. وأمامكم ثلاث طرق للتصميم: إرسال كل شيء، للبيئات التي لا يلزمها إبقاء أي فئة من بيانات الرصد في المملكة؛ أو نقطة تحكم داخل المملكة تصفّي البيانات وتحجب الحساس منها وتوجّهها قبل أن يغادر أي شيء، فلا يخرج إلا ما اعتُمد؛ أو منظومة رصد تشغّلونها داخل المملكة للفئات التي لا يجوز أن تغادر أبدًا. وأغلب البيئات السعودية تختار الطريقة الثانية.

ويتناول دليل إقامة بيانات الرصد هذا الموضوع بالتفصيل: ما الذي تحتويه بيانات الرصد، ونقطة التحكم، وكيف تصممون تقسيمًا تستطيعون الدفاع عنه أمام المدقق. والتفكير نفسه ينطبق على أي أداة رصد أو سجلات، أيًا كان صانعها.

روابط ذات صلةدليل إقامة بيانات الرصد

تساعد إنتركي حين يجب أن يتحول قرار إقامة البيانات إلى بيئة تعمل. فنحن شريك Google Cloud وشريك AWS، ونصمّم ونبني على كليهما، ومنها الخيارات داخل المملكة، وعلى البنية الخاصة أيضًا. وتبيع إنتركي كذلك تراخيص Datadog في السعودية، وتطبّقه وتدعمه، ومن ذلك نقطة التحكم داخل المملكة التي تُبقي بيانات الرصد الحساسة في الداخل.

ولا نحدد تصنيف بياناتكم ولا نفسّر النظام نيابة عنكم، فهذه قرارات المسؤول عن الامتثال لديكم، والمستشار القانوني حين يلزم. ولا نرشّح مزوّدًا قبل أن يوجد التصنيف. وإن كانت لديكم خريطة واضحة لإقامة البيانات وفريق يحدّثها، فليس لدينا الكثير لنضيفه.