المصادر · الامتثال
تصنيف البيانات في السعودية: المستويات، وما تعنيه لمكان استضافة أنظمتكم
تصنيف البيانات هو أن تعطي الجهة كل فئة من بياناتها مستوى يبيّن أثر وصولها إلى من لا يحق له أن يراها. وفي المملكة تأتي المستويات من سياسة تصنيف البيانات التي يصدرها مكتب إدارة البيانات الوطنية التابع للهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). والتصنيف ليس ورقة للأرشيف: فعلى المستوى تُبنى قرارات مكان الاستضافة، وترتيب الانتقال إلى السحابة، ووجهة النسخ الاحتياطية، وموقع التعافي من الكوارث. يشرح هذا الدليل المستويات بلغة واضحة، ويبيّن أثرها في تصميم الأنظمة، وأين تساعد إنتركي وأين لا.
نُشر في 9 دقائق قراءة
الملخص
في لمحة
الدليل في جدول واحد، لمن لديه خمس دقائق.
- المقصود
- مستوى لكل فئة من البيانات، يُحدَّد بحسب أثر الإفصاح عنها أو الوصول إليها دون حق
- من يصدر السياسة
- مكتب إدارة البيانات الوطنية التابع لسدايا، ضمن سياسات حوكمة البيانات الوطنية
- المستويات
- سري للغاية، وسري، ومقيد، وعام، بحسب إصدار السياسة المنشور على موقع سدايا
- من يطبّقها
- الجهات الحكومية أولًا، ومن يعالج بياناتها بعقد يسأل الجهة عن مستوى البيانات وما يلزم له
- أثرها في التقنية
- مكان الاستضافة، وترتيب الانتقال، والنسخ الاحتياطية، وموقع التعافي، والسجلات، ونسخ الاختبار
- ما تقدمه إنتركي
- ربط كل فئة بقرار استضافة مكتوب، ثم التصميم والانتقال والتشغيل، مع دعم من الرياض
الخلاصة للإدارة
- ما هو: مستوى لكل فئة من البيانات يحدد كيف تُحمى، ومن يصل إليها، وأين يجوز أن تُستضاف.
- من أين تأتي المستويات: من سياسة تصنيف البيانات التي يصدرها مكتب إدارة البيانات الوطنية التابع لسدايا، وفيها أربعة مستويات تُحدَّد بحسب الأثر.
- لماذا يهم فريق التقنية: لأن ضوابط الحوسبة السحابية وقرارات إقامة البيانات تبدأ من المستوى، فلا يُختار مزوّد ولا منطقة قبل أن يوجد التصنيف.
- ما الذي لا يحسمه التصنيف وحده: قد تضيف ضوابط الهيئة الوطنية للأمن السيبراني، وأحكام البيانات الشخصية، والجهة المنظمة لقطاعكم، شروطًا أخرى.
ما تصنيف البيانات، ومن يصدر سياسته في المملكة
تصنيف البيانات قرار تتخذه الجهة لكل فئة من بياناتها: ما الضرر الذي يقع لو اطّلع عليها من لا يحق له، أو أُفصح عنها. وعلى جواب هذا السؤال يُبنى كل ما بعده: الصلاحيات، والتشفير، وطريقة المشاركة مع الجهات الأخرى، ومكان الاستضافة.
وفي المملكة يصدر مكتب إدارة البيانات الوطنية التابع للهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) سياسات حوكمة البيانات الوطنية، ومنها سياسة تصنيف البيانات. وتقوم السياسة على تقدير الأثر: أثر الإفصاح في المصلحة الوطنية، وفي أعمال الجهة، وفي الأفراد وسلامتهم وخصوصيتهم، وفي البيئة. ثم يُترجَم الأثر إلى مستوى. وتربط سدايا التصنيف بسياسات أخرى، منها سياسة مشاركة البيانات التي تجعل الموافقة على مشاركة البيانات بين الجهات تتبع مستواها.
اقرأ المزيد
والسياسة مكتوبة للجهات الحكومية وللبيانات التي تنتجها أو تحتفظ بها. فإن كنتم شركة خاصة تعالج بيانات جهة حكومية بعقد، كمزوّد خدمة أو مطوّر نظام، فاسألوا الجهة كتابةً عن مستوى البيانات التي تتسلّمونها وما تطلبه لها، ولا تفترضوا الجواب. ولا ينقل هذا الدليل أرقام المواد ولا البنود، لأن النصوص تُحدَّث، والنقل عن الملخصات يقود إلى متطلبات خاطئة. فاقرؤوا النص الحالي على موقع سدايا مع المسؤول عن إدارة البيانات لديكم.
روابط ذات صلةمكتب إدارة البيانات الوطنية
مستويات تصنيف البيانات في السعودية
الأسماء والأثر كما في إصدار سياسة تصنيف البيانات المنشور على موقع سدايا. وتسمّي اللوائح المؤقتة الصادرة عن المكتب، في نصها الإنجليزي، المستوى الثالث Confidential بدل Restricted، فتأكدوا من الإصدار الذي تعتمده جهتكم. والعمود الأخير أسئلة يُجاب عنها، لا حكم جاهز.
| المستوى | الأثر الذي يقابله | ما يُحسم قبل اختيار الاستضافة |
|---|---|---|
| سري للغاية | أثر عالٍ لو أُفصح عن البيانات أو وصل إليها من لا يحق له | ما الذي تسمح به الجهة المالكة للبيانات والنص الذي ينطبق عليكم. وهذا المستوى أضيق الخيارات، فيُطلب الجواب كتابةً قبل أي تصميم |
| سري | أثر متوسط | هل يشمل ترخيص مزوّد الاستضافة هذا المستوى، وأين تقع النسخ الاحتياطية وموقع التعافي، ومن يصل للدعم |
| مقيد | أثر منخفض | ضوابط الوصول والتشفير المطلوبة، وهل يجوز أن تخرج نسخ منه إلى أدوات SaaS أو بيئات الاختبار |
| عام | لا أثر يُذكر للإفصاح | البيانات قابلة للنشر، لكن سلامتها وتوفرها تبقى مهمة: من يحق له أن يعدّلها، وكيف تعود بعد عطل |
وهذا أيضًا سبب ارتباط التصنيف بإقامة البيانات. فإقامة البيانات تُقرَّر لكل فئة، والتصنيف هو الذي يقسم البيانات إلى فئات. ويعرض دليل توطين البيانات في السعودية الأماكن المتاحة اليوم داخل المملكة وخارجها، ويتناول دليل الضوابط الأساسية للأمن السيبراني كيف يُوصف نطاق ضوابط الهيئة.
لماذا يسبق تصنيف البيانات كل قرار سحابي في المملكة
تذكر الهيئة الوطنية للأمن السيبراني في نموذج سياسة الأمن السيبراني للحوسبة السحابية والاستضافة الذي تنشره أن البيانات تُصنَّف وفق الأنظمة والتشريعات ذات العلاقة قبل أن تُستضاف لدى مزوّد خدمات سحابية أو استضافة، وأن يقدّم المزوّد بيانًا مكتوبًا بمستويات التصنيف التي يرخَّص له باستضافتها. وتنشر الهيئة ضوابط الأمن السيبراني للحوسبة السحابية، وإصدارها الحالي في قائمة الهيئة CCC-2:2024. وتذكر وثيقة الضوابط الأساسية للأمن السيبراني ECC-2:2024 أن ضوابط توطين البيانات انتقلت إلى مكتب إدارة البيانات الوطنية في سدايا.
اقرأ المزيد
وتحيل هيئة الحكومة الرقمية في دليلها لتبنّي الحوسبة السحابية في الجهات الحكومية إلى سياسة التصنيف نفسها. وتنشر هيئة الاتصالات والفضاء والتقنية دليل مقدّمي خدمات الحوسبة السحابية. والنتيجة العملية واحدة: سؤال «أين نستضيف هذا النظام؟» لا جواب له قبل سؤال «ما مستوى بياناته؟». ومن يختار المزوّد أولًا ثم يبحث عن التصنيف يعيد التصميم غالبًا في منتصف المشروع.
روابط ذات صلةضوابط الأمن السيبراني للحوسبة السحابيةهيئة الحكومة الرقميةدليل مقدّمي خدمات الحوسبة السحابية
تصنيف البيانات والاستضافة السحابية: ماذا يعني كل مستوى لمكان النظام
لا يضع هذا الدليل قاعدة من نوع: المستوى كذا يُستضاف في المكان كذا، لأن الجواب يأتي من النص الذي ينطبق على جهتكم ومن ترخيص المزوّد، وكلاهما يتغير. لكن الطريق إلى الجواب ثابت، ويمر بثلاثة أسئلة لكل فئة:
- هل يجوز أن تغادر البيانات المملكة؟ إن كان الجواب لا، فالخيارات داخل المملكة فقط: منطقة Google Cloud في الدمام (me-central2)، أو منطقة AWS السعودية بعد أن تظهر في قائمة مناطقها المتاحة (أعلنتها AWS، ولم تكن في القائمة يوم 2 نوفمبر 2026)، أو بنية تشغّلونها في مراكز بياناتكم.
- هل يشمل ترخيص المزوّد هذا المستوى؟ اطلبوا البيان المكتوب بمستويات التصنيف التي يرخَّص للمزوّد باستضافتها، وضعوه في ملف القرار مع تاريخه.
- هل تحتاج الفئة إلى بنية تتحكمون فيها وحدكم؟ بعض الجهات تقرر أن أعلى المستويات تبقى في أنظمة تشغّلها بنفسها، وهذا قرار الجهة المالكة للبيانات لا قرار المزوّد.
- وأغلب البيئات تنتهي إلى مزيج: أنظمة البيانات العامة والمقيدة على السحابة، وما هو أعلى في المكان الذي يسمح به النص وترخيص المزوّد. ويشرح دليل السحابة الهجينة للمؤسسات كيف تُدار بيئة واحدة في أكثر من مكان.
كيف يشكّل التصنيف الانتقال إلى السحابة والنسخ الاحتياطية والتعافي من الكوارث
التصنيف لا يحدد مكان النظام الرئيس وحده، بل مكان كل نسخة منه. وهذه القرارات التي نراها تتأخر كثيرًا:
| قرار التصميم | ما يحسمه التصنيف | ما يُنسى كثيرًا |
|---|---|---|
| ترتيب الانتقال | أي الأنظمة تنتقل أولًا: البيانات العامة والمقيدة غالبًا أقصر طريقًا | نظام بيانات مقيدة يعتمد على قاعدة بيانات أعلى مستوى، فيرث مستواها |
| المكان المستهدف | المنطقة أو البنية التي يجوز أن تستضيف كل فئة | الخدمات التي يحتاجها النظام قد لا تتوفر في المنطقة المسموح بها |
| النسخ الاحتياطية | وجهة النسخ ومن يصل إليها، بالمستوى نفسه للنظام الأصلي | نسخة في منطقة ثانية خارج المملكة لأنها الخيار الافتراضي في الأداة |
| التعافي من الكوارث | موقع التعافي، وهو مكان ثانٍ يحتاج إلى الجواب نفسه | موقع تعافٍ لم يُختبر بالاستعادة، أو يقع حيث لا يسمح التصنيف |
| السجلات والرصد | ما يجوز أن يُرسل إلى منصة خارجية، وما يُحجب قبل الإرسال | سجلات التطبيقات تحمل قيمًا من البيانات المصنفة في رسائل الأخطاء |
| بيئات الاختبار | هل يجوز نسخ البيانات إليها، أم تُقنَّع أولًا | نسخة إنتاج كاملة في بيئة اختبار بحماية أقل |
| وصول الدعم الفني | من يتصل بالأنظمة، ومن أين | مهندس مزوّد يتصل من الخارج أو يتسلّم مقتطفًا من البيانات |
ويشرح دليل التعافي من الكوارث في السعودية أنماط موقع التعافي واختباره، ويعرض دليل الانتقال إلى السحابة كيف تُرتَّب موجات الانتقال.
كيف تبني الجهة تصنيفًا يصلح للتصميم
التصنيف الذي يفيد فريق التقنية ليس جدولًا بأسماء الملفات، بل قائمة بفئات البيانات وأنظمتها. وتبدأ الجهة عادةً من الأنظمة لا من الوثائق: كل نظام، وفئات البيانات فيه، ومالك كل فئة. ثم يقدّر المالك الأثر لكل فئة، ويُكتب المستوى مع تاريخه ومن اعتمده.
وفي قواعد البيانات تساعد الأدوات في الجزء الأصعب، وهو العثور على البيانات الحساسة. فتذكر وثائق Redgate أن Redgate Test Data Manager يقترح الأعمدة الحساسة تلقائيًا، ثم يراجعها مالك البيانات. ونفس النتيجة تفيد في تقنيع بيانات الاختبار، كما يشرح دليل نظام حماية البيانات الشخصية. لكن الأداة تقترح ولا تصنّف: فالمستوى قرار بشري، لأنه يقوم على تقدير الأثر، والأثر يعرفه مالك البيانات لا البرنامج.
ولا يغني التصنيف عن أحكام البيانات الشخصية. فالبيانات الشخصية قد تكون في أي مستوى، ولها أحكامها في نظام حماية البيانات الشخصية ولوائحه، ومنها نقلها إلى خارج المملكة. فاكتبوا الأمرين معًا لكل فئة: مستوى التصنيف، وهل تحتوي على بيانات شخصية.
روابط ذات صلةنظام حماية البيانات الشخصية
قائمة تحقق قبل نقل أي نظام إلى السحابة
أسئلة يُجاب عنها لكل نظام قبل أن يُختار المزوّد أو المنطقة:
- فئات البيانات في النظام مكتوبة، ولكل فئة مالك معروف.
- مستوى معتمد ومؤرّخ لكل فئة، مع الإصدار الذي اعتُمد عليه من سياسة التصنيف.
- أعلى مستوى في النظام هو مستواه، ما لم تُفصل البيانات الأعلى في نظام آخر.
- بيان مكتوب من المزوّد بمستويات التصنيف التي يرخَّص له باستضافتها.
- كل نسخة مذكورة: النسخ الاحتياطية، وموقع التعافي، والسجلات، وبيئات الاختبار.
- علامة على البيانات الشخصية في كل فئة تحتوي عليها، لتُراجع شروط نقلها.
- موعد لمراجعة التصنيف، لأن الأنظمة تتغير، والبيانات التي تضاف إليها قد ترفع مستواها.
أين تساعد السحابة وإنتركي، وأين لا
تساعد السحابة حين يكون التصنيف واضحًا ومكتوبًا: فالبيانات العامة والمقيدة تنتقل غالبًا دون عوائق كبيرة، ومنطقة داخل المملكة تفتح الطريق لفئات أعلى إن سمح بها النص وترخيص المزوّد. ولا تساعد حين يُطلب منها أن تعوّض غياب التصنيف، أو حين تكون فئة لا يجوز أن تغادر أنظمة تتحكم فيها الجهة. ففي هذه الحالة تبقى البنية الخاصة هي الجواب، ويمكن أن تدار بانضباط السحابة نفسه.
اقرأ المزيد
وإنتركي شريك Google Cloud وشريك AWS، ونصمّم ونبني على كليهما، ومنها الخيارات داخل المملكة، وعلى البنية الخاصة. ولا نحدد مستوى بياناتكم ولا نفسّر السياسة نيابة عنكم، فهذا قرار المسؤول عن إدارة البيانات والامتثال لديكم. ودورنا أن نحوّل التصنيف المعتمد إلى قرار استضافة مكتوب لكل نظام، ثم إلى تصميم وانتقال وتشغيل يطابقه. وإن كان لديكم تصنيف واضح وخطة تطابقه، فنقول ذلك صراحة.
كيف يجري مشروع ربط التصنيف بالاستضافة مع إنتركي
ويعمل مهندسو إنتركي من الرياض، ويكتبون المستندات ويجتمعون مع فرق الامتثال والتقنية لديكم بالعربية والإنجليزية. ويأتي الدعم الفني بعد الإطلاق من الفريق نفسه، فمن صمّم موقع التعافي ووجهة النسخ الاحتياطية هو من يشرحهما للمدقق.
-
حصر الأنظمة والفئات.
كل نظام، وفئات البيانات فيه، ومالك كل فئة، وكل نسخة منه.
-
قراءة التصنيف القائم.
المستوى المعتمد لكل فئة، والفئات التي لم تُصنَّف بعد ليصنّفها مالكها.
-
كتابة قرار الاستضافة.
لكل نظام: المكان المسموح، وترخيص المزوّد، ووجهة النسخ وموقع التعافي، مع من اعتمده.
-
ترتيب الانتقال.
موجات بحسب المستوى والاعتماديات، تبدأ غالبًا بالأنظمة الأقصر طريقًا.
-
البناء والتشغيل.
المنطقة الأساسية، والانتقال، واختبار التعافي بالاستعادة، ومراجعة دورية للتصنيف والقرار.
أسئلة يطرحها المشترون في السعودية عن تصنيف البيانات
ما مستويات تصنيف البيانات المعتمدة في السعودية؟
يذكر إصدار سياسة تصنيف البيانات المنشور على موقع سدايا أربعة مستويات: سري للغاية، وسري، ومقيد، وعام، ويُحدَّد كل منها بحسب أثر الإفصاح عن البيانات، من الأثر العالي إلى عدم الأثر. وقد تختلف تسمية المستوى الثالث بين الإصدارات، فاعتمدوا الإصدار الذي تطبّقه جهتكم.
هل تلتزم شركات القطاع الخاص بسياسة تصنيف البيانات الوطنية؟
السياسة مكتوبة للجهات الحكومية وبياناتها. أما الشركة الخاصة التي تعالج بيانات جهة حكومية بعقد فتسأل الجهة كتابةً عن مستوى البيانات وما يلزم له. وقد تضع الجهة المنظمة لقطاعكم أحكامًا أخرى، يعرفها المسؤول عن الامتثال لديكم.
هل يجوز استضافة البيانات المصنفة سرية في سحابة عامة داخل المملكة؟
الجواب في النص الذي ينطبق على جهتكم وفي ترخيص المزوّد، لا في قاعدة عامة. ويذكر نموذج سياسة الهيئة الوطنية للأمن السيبراني للحوسبة السحابية أن المزوّد يقدّم بيانًا مكتوبًا بالمستويات التي يرخَّص له باستضافتها. فاطلبوه، واعرضوه على الجهة المالكة للبيانات قبل التصميم.
هل تأخذ النسخ الاحتياطية وموقع التعافي مستوى تصنيف النظام الأصلي؟
نعم في العادة، لأنها تحمل البيانات نفسها. فوجهة النسخ الاحتياطية وموقع التعافي من الكوارث مكانان آخران للبيانات، ويحتاجان إلى الجواب نفسه عن إقامة البيانات وترخيص المزوّد. وأكثر ما نراه منسيًا نسخة في منطقة خارجية اختيرت لأنها الإعداد الافتراضي.
كم يستغرق ربط تصنيف البيانات بخطة الاستضافة، وما الذي يحدد تكلفته؟
تتوقف المدة على عدد الأنظمة، وهل يوجد تصنيف معتمد اليوم، وتوفر مالك لكل فئة يجيب عن الأسئلة. لذلك نقدّرها بعد حصر الأنظمة، لا قبله. وتتبع التكلفة بعد ذلك ما يلزم من بناء وانتقال وتراخيص، ونسعّرها في عرض واحد مع الدعم الفني.
من يتولى تصنيف البيانات داخل الجهة؟
مالك كل فئة من البيانات هو من يقدّر الأثر ويقترح المستوى، ويعتمده المسؤول عن إدارة البيانات أو مكتبها في الجهة. أما فريق التقنية فيصف الأنظمة والنسخ، ويطبّق ما يترتب على المستوى. وتستطيع الأدوات أن تقترح الأعمدة الحساسة، لكنها لا تقرر المستوى.
التالي
صفحات ذات صلة
الخطوة التالية
خطّطوا الاستضافة بحسب تصنيف البيانات
أخبرونا بالأنظمة التي تفكرون في نقلها، وهل لديكم تصنيف معتمد اليوم، وأين تقع النسخ الاحتياطية وموقع التعافي الآن. وسنعود إليكم بخطوة أولى تبيّن ما يجوز أن يُستضاف أين، وما ينقص التصنيف.
أو مباشرةً
+966-11-2180999 [email protected]أبراج التعاونية، البرج الشمالي، الطابق السابع، طريق الملك فهد، العليا، ص.ب. ٥٦٨٣٥، الرياض ١١٥٦٤، المملكة العربية السعودية