أخطر من اختراق بياناتنا أن نفقد السيطرة عليها!

تخيّل أن تستيقظ مؤسسة ذات صباح لتكتشف أن بريدها الإلكتروني قد توقف، وأن مراسلاتها وعقودها وملفاتها محفوظة في أنظمة لا تستطيع الوصول إليها، وأن استمرار أعمالها أصبح مرهونًا بقرار شركة تقنية خارجية أو بقدرتها على إعادة الخدمة.

لم تُسرق البيانات، ولم يقع بالضرورة أي اختراق، ومع ذلك توقفت المؤسسة عن العمل!

هذه ليست مجرد مشكلة تقنية، بل مسألة قانونية تمس الأمن السيبراني والسيادة الرقمية والمسؤولية عن حماية المعلومات واستمرارية المؤسسات.

لقد أثار الحديث مؤخرًا عن مشكلات خدمات البريد الإلكتروني التابعة لشركة مايكروسوفت نقاشًا مهمًا حول اعتماد مؤسساتنا شبه الكامل على شركات التكنولوجيا العالمية، ومدى قدرتها على الاستمرار عندما تتعطل تلك الخدمات.

والسؤال الأخطر: هل نملك بياناتنا فعلًا، أم نملك فقط حق الوصول إليها ما دام مزود الخدمة يسمح لنا بذلك؟

إن الأمن السيبراني لا يقتصر على منع الاختراق وسرقة المعلومات، بل يقوم كذلك على ضمان سلامة البيانات وتوافرها وإمكانية الوصول إليها عند الحاجة. فالبيانات التي لا تستطيع المؤسسة استعادتها أو استخدامها قد تصبح، من الناحية العملية، كأنها غير موجودة.

وهنا تظهر إشكالية قانونية لا تحظى بما تستحقه من اهتمام: من يتحمل المسؤولية إذا تعطلت أعمال مؤسسة، أو فاتتها مواعيد تعاقدية، أو تكبدت خسائر مالية بسبب توقف خدمة رقمية تعتمد عليها؟

هل تتحمل شركة التكنولوجيا المسؤولية؟ أم المؤسسة التي وضعت بياناتها وأنظمتها لدى مزود واحد دون بدائل أو خطط لاستمرارية الأعمال؟

الإجابة ليست واحدة في جميع الحالات؛ إذ تتوقف على طبيعة العقد، والتزامات مستوى الخدمة، وسبب الانقطاع، ومدى الإخلال، والضرر وعلاقة السببية، فضلًا عن القانون الواجب التطبيق وشروط تحديد المسؤولية أو الإعفاء منها.

غير أن المشكلة الأعمق تبدأ عندما توقع المؤسسات عقود خدمات رقمية دون أن تدرك أنها قد تتنازل عمليًا عن جزء من قدرتها على التحكم في استمرار أعمالها.

فالمؤسسة التي لا تستطيع استعادة بياناتها، أو نقلها إلى مزود آخر، أو تشغيل خدماتها الأساسية عند تعطل المورد، لا تعاني مجرد خلل تقني؛ بل تواجه خللًا في إدارة المخاطر والحوكمة الرقمية.

وفي الأردن، يشكل قانون الأمن السيبراني رقم (16) لسنة 2019 وقانون حماية البيانات الشخصية رقم (24) لسنة 2023 جزءًا من الإطار التشريعي ذي الصلة بحماية الأنظمة والمعلومات والبيانات الشخصية.

لكن التحدي يتجاوز مجرد وجود التشريعات إلى مدى كفاية الالتزامات والضوابط التي تضمن استمرارية الخدمات الرقمية، وقابلية نقل البيانات واستعادتها، وتحديد المسؤولية عند تعطل الأنظمة، خصوصًا في المؤسسات التي تقدم خدمات حيوية للمواطنين.

ومن هنا، فإن تطوير تشريعات الأمن السيبراني ينبغي ألا ينشغل فقط بمواجهة الهجمات الإلكترونية، بل أن يعالج كذلك مخاطر الاعتماد المفرط على مزودي الخدمات، وأن يعزز متطلبات استمرارية الأعمال والتعافي من الكوارث والرقابة على العقود التقنية ذات الأهمية المؤسسية.

ولا أدعو هنا إلى الاستغناء عن مايكروسوفت أو غيرها من الشركات العالمية، ولا إلى اعتبار الاستضافة خارج الأردن خطرًا بحد ذاتها؛ فالخدمات السحابية قد توفر مستويات متقدمة من الحماية والكفاءة.

لكن الفرق كبير بين الاستفادة من التكنولوجيا والارتهان لها.

فالسيادة الرقمية ليست شعارًا سياسيًا، ولا تعني بالضرورة امتلاك الخوادم، وإنما تعني امتلاك القدرة القانونية والتقنية على إدارة البيانات والوصول إليها واستعادتها، واتخاذ القرار بشأنها دون تبعية تعطل مصالح المؤسسة أو حقوق المتعاملين معها.

ولذلك، فإن على المؤسسات، ولا سيما العامة والمالية والصحية والتعليمية والقانونية، أن تعيد النظر في عقودها الرقمية وخطط استمرارية أعمالها، وأن تتأكد من وجود ضمانات حقيقية للنسخ الاحتياطي المستقل، واستعادة المعلومات، ونقل الخدمات، وتحديد المسؤولية عن الانقطاع.

لقد انشغلنا طويلًا بالسؤال: كيف نحمي بياناتنا من أن يسرقها الآخرون؟

وحان الوقت لنسأل السؤال الذي قد يكون أشد خطورة: كيف نحمي أنفسنا من أن نصبح عاجزين عن الوصول إلى بياناتنا نحن؟

إن أخطر ما قد يصيب المؤسسة في العصر الرقمي ليس أن تتعرض أنظمتها للاختراق فحسب، بل أن تكتشف أنها لم تعد تملك القدرة على إدارة أعمالها دون إذن أو مساعدة من طرف آخر.

فالسيادة الرقمية الحقيقية تبدأ عندما لا يصبح مصير المؤسسة مرهونًا بزر تشغيل أو إيقاف لا تملكه