تصنيف البيانات: المستويات والضوابط داخل المؤسسة

ملف رواتب الموظفين، وعقد مع مورّد، وإعلان وظيفة منشور على الموقع. ثلاثة ملفات في المؤسسة نفسها، لكن هل تستحق الحماية نفسها؟ بالطبع لا.

تصنيف البيانات هو الذي يحدد مستوى الحماية المناسب لكل نوع من المعلومات. في هذا الدليل نشرح مستويات تصنيف البيانات المعتمدة في المملكة، وكيف يُحدد مستوى كل ملف، والضوابط التي تطبقها على كل مستوى داخل مؤسستك.

ما هو تصنيف البيانات؟

تصنيف البيانات إطار موحد يقسّم البيانات إلى مستويات محددة، ويحدد طريقة التعامل مع كل مستوى، بناءً على شدة الأثر الذي يترتب على الإفصاح عنها أو الوصول إليها دون تصريح.

بمعنى أبسط: كلما كان ضرر التسريب أكبر، ارتفع مستوى التصنيف، وزادت القيود على الوصول والتخزين والمشاركة.

لماذا يُعد الخطوة الأولى في الحماية؟

لا يمكنك حماية ما لا تعرف قيمته. التصنيف يجيب عن ثلاثة أسئلة عملية:

من يحق له الاطلاع على هذه البيانات؟

أين تُحفظ وكيف تُنقل؟

متى وكيف تُتلف؟

ودون هذه الإجابات، إما أن تبالغ في حماية بيانات عامة فتعطل العمل، أو تهمل بيانات حساسة فتتعرض للتسريب.

مستويات تصنيف البيانات في السعودية

بحسب سعوديبيديا، تعمل سياسة تصنيف البيانات الصادرة عن مكتب إدارة البيانات الوطنية على حماية سرية البيانات على أربعة مستويات. وتربط السياسات المبنية عليها كل مستوى بدرجة أثر محددة:

سري للغاية (أثر عالٍ)

بيانات يؤدي الوصول غير المصرح به إليها إلى ضرر جسيم واستثنائي لا يمكن تداركه، على المصالح الوطنية أو أداء الجهات أو سلامة الأفراد على نطاق واسع.

سري (أثر متوسط)

بيانات يسبب تسريبها ضررًا جسيمًا، مثل خسارة مالية كبيرة تعجز الجهة بعدها عن أداء مهامها، أو خسارة جسيمة في قدرتها التنافسية.

مقيد (أثر منخفض)

بيانات يؤدي تسريبها إلى تأثير سلبي محدود على عمل الجهة أو أصولها أو وضعها المالي.

عام (لا يوجد أثر)

بيانات لا يترتب على الإفصاح عنها أي من الآثار السابقة. وتسميه بعض المراجع مستوى “متاح”.

كيف يُحدَّد مستوى التصنيف؟

السؤال الأساسي دائمًا: ماذا يحدث لو وصلت هذه البيانات إلى شخص غير مصرح له؟ وتقيس السياسات السعودية الأثر عبر عدة فئات، منها:

المصلحة الوطنية: السمعة، والعلاقات، والأمن، والاقتصاد.

أنشطة الجهة: الخسارة المالية، وتعطل العمليات، والقدرة التنافسية.

مصالح الأفراد: الخصوصية والسلامة.

الموارد البيئية والطبيعية.

فمثلًا تشرح سياسة تصنيف البيانات لقطاع الصناعات العسكرية الصادرة عام 2025 هذه الفئات بأسئلة تفصيلية لكل مستوى، وتذكر أنها بُنيت على ضوابط ومواصفات إدارة البيانات الوطنية وحوكمتها.

ملاحظة عن البيانات الشخصية

البيانات الشخصية مثل الاسم ورقم الهوية والعنوان وأرقام الحسابات تحتاج انتباهًا خاصًا. فهي تخضع لتصنيف السرية، وتخضع أيضًا لمتطلبات نظام حماية البيانات الشخصية.

مبادئ تصنيف البيانات

هذه المبادئ تمنع أغلب أخطاء التطبيق، وهي واردة في السياسات السعودية لتصنيف البيانات:

التصنيف في الوقت المناسب

تُصنف البيانات عند إنشائها أو عند استلامها من طرف آخر، ضمن إطار زمني محدد. ترك التصنيف “لوقت لاحق” يعني غالبًا أنه لن يحدث.

المستوى الأعلى عند دمج البيانات

إذا جمع مستند واحد بيانات من مستويات مختلفة، يأخذ المستند كله المستوى الأعلى. تقرير يضم بيانات عامة وجدولًا سريًا يصبح سريًا.

الحاجة إلى المعرفة والحد الأدنى من الصلاحيات

يُمنح الوصول على أساس الحاجة الفعلية للعمل فقط.

يُمنح لأقل عدد ممكن من الأشخاص.

تُفصل المهام بحيث لا يجمع شخص واحد صلاحيات التصنيف والوصول والإتلاف.

الضرورة والتناسب

يُوازن بين قيمة البيانات ودرجة سريتها. المبالغة في التصنيف تعطل العمل بقدر ما يعرّضه التساهل للخطر.

الضوابط لكل مستوى

التصنيف بلا ضوابط مجرد ملصق. هذه أهم الضوابط التي يجب ربطها بكل مستوى:

علامات التصنيف

ضع علامة التصنيف بوضوح على الوثائق الورقية والإلكترونية، بما في ذلك رسائل البريد. الموظف يجب أن يعرف المستوى من النظرة الأولى.

الوصول والتخزين

اربط الصلاحيات في الأنظمة بمستوى التصنيف.

لا تترك البيانات المصنفة، ولا الأجهزة المحمولة التي تحملها، دون مراقبة.

احمِ البيانات السرية بالتشفير. شرحنا آلية عمله في دليل التشفير.

المشاركة

حدد وسائل آمنة معتمدة لتبادل كل مستوى، داخليًا وخارجيًا. البريد الشخصي وتطبيقات المراسلة العامة ليست وسيلة لمشاركة بيانات مقيدة أو سرية.

الاحتفاظ والإتلاف

ضع جدولًا زمنيًا لمدة الاحتفاظ بكل نوع من البيانات، وفق المتطلبات التنظيمية والتعاقدية.

أتلف البيانات الإلكترونية الحساسة بطرق آمنة تمنع استرجاعها.

استخدم آلات تمزيق الورق للوثائق الورقية.

احتفظ بسجل لما تم إتلافه ومتى.

أمثلة توضيحية على تصنيف البيانات

هذه أمثلة للتوضيح فقط، وتبقى السياسة المعتمدة في جهتك ونتيجة قياس الأثر هما المرجع النهائي في تصنيف البيانات:

إعلان وظيفة منشور على الموقع: عام، لأنه منشور أصلًا.

دليل الإجراءات الداخلية لقسم خدمة العملاء: غالبًا مقيد، فتسريبه محرج لكنه محدود الضرر.

قاعدة بيانات العملاء مع أرقام هوياتهم وحساباتهم: مستوى أعلى، لأن تسريبها يضر الأفراد ويعرّض الجهة لمساءلة نظامية.

خطط استحواذ لم تُعلن، أو عروض مناقصات قبل فتحها: مستوى أعلى أيضًا، لأن كشفها يسبب خسارة تنافسية ومالية كبيرة.

لاحظ أن المثال الواحد قد يتغير مستواه مع الوقت. خطة المشروع السرية اليوم قد تصبح عامة بعد الإعلان الرسمي عنها.

أدوات تقنية تساعد على التطبيق

علامات التصنيف المدمجة في تطبيقات المكتب والبريد، تضاف عند إنشاء المستند.

أنظمة منع تسرب البيانات (DLP) التي توقف إرسال ملف مصنف إلى خارج المؤسسة.

ربط الصلاحيات في مجلدات التخزين المشتركة بمستوى التصنيف.

خطوات تطبيق تصنيف البيانات في مؤسستك

اعتمد سياسة مكتوبة تحدد المستويات والأدوار، متوافقة مع المرجعية الوطنية.

احصر البيانات: أين توجد، ومن يملكها، ومن يستخدمها.

عيّن مالكًا لكل مجموعة بيانات يكون مسؤولًا عن تحديد مستواها.

ابدأ بالبيانات الأعلى حساسية: بيانات العملاء والموظفين والبيانات المالية.

طبّق الضوابط التقنية على الصلاحيات والتخزين والمشاركة.

درّب الموظفين على المستويات وطريقة التعامل مع كل منها.

راجع التصنيف دوريًا، فقيمة البيانات تتغير مع الوقت.

دور الموظف في نجاح تصنيف البيانات

سياسات التصنيف السعودية، ومنها سياسة قطاع الصناعات العسكرية، تُلزم بتقديم برامج تدريب وتوعية لكل الموظفين بمستويات التصنيف وضوابط التعامل معها. والسبب واضح: الموظف هو من ينشئ المستند، ويختار طريقة إرساله، ويقرر أين يحفظه.

ما يجب أن يعرفه كل موظف:

المستويات الأربعة ومعنى كل منها.

كيف يضع علامة التصنيف على المستند والبريد.

القنوات المسموح بها لمشاركة كل مستوى.

ماذا يفعل إذا وصله ملف مصنف بالخطأ.

كيف يبلّغ عن أي تسريب أو اشتباه.

أخطاء شائعة في تصنيف البيانات

تصنيف كل شيء سريًا: يربك الموظفين ويجعلهم يتجاهلون العلامات.

تصنيف بلا ضوابط: ملصق “سري” على ملف يستطيع الجميع فتحه لا يحمي شيئًا.

نسيان الورق والبريد: التسريبات لا تأتي من قواعد البيانات وحدها.

عدم المراجعة: بيانات كانت سرية قبل إعلان مشروع قد تصبح عامة بعده.

إهمال التدريب: الموظف الذي لا يفهم المستويات سيخطئ في التعامل معها.

الخلاصة

تصنيف البيانات هو الأساس الذي تُبنى عليه بقية ضوابط الحماية. حدد المستويات الأربعة، وقِس الأثر بموضوعية، وطبّق المبادئ الأساسية، ثم اربط كل مستوى بضوابط واضحة للوصول والتخزين والمشاركة والإتلاف.

ابدأ بمجموعة البيانات الأكثر حساسية لديك هذا الشهر، ثم توسّع تدريجيًا حتى تغطي المؤسسة كلها خلال عام. ولا تنسَ أن نجاح التصنيف يعتمد على الموظف الذي يتعامل مع البيانات يوميًا، أكثر مما يعتمد على أي أداة. وللتوسع في حماية بيانات العملاء والموظفين، راجع دليلنا عن حماية البيانات الشخصية.

اجعل سياسة التصنيف معروفة ومُلزمة مع PLCY-X

أكبر تحدٍّ في تصنيف البيانات هو أن يعرف كل موظف السياسة ويلتزم بها. منصة PLCY-X لإدارة السياسات تنشر سياسة التصنيف لموظفيك، وتجمع إقراراتهم، وتختبر فهمهم، وتعطيك تقارير التزام جاهزة للتدقيق.

تعرّف على حلول CyberX للتوعية بالأمن السيبراني، أو تواصل معنا لحجز عرض توضيحي.

الأسئلة الشائعة

ما مستويات تصنيف البيانات في السعودية؟

أربعة مستويات: سري للغاية، وسري، ومقيد، وعام (ويُسمى أيضًا متاح)، ولكل منها درجة أثر من عالٍ إلى لا يوجد.

من يحدد مستوى تصنيف البيانات؟

مالك البيانات في الجهة، وفق السياسة المعتمدة ومعايير قياس الأثر، مع مراجعة دورية.

ما الفرق بين تصنيف البيانات وحماية البيانات الشخصية؟

التصنيف يحدد مستوى سرية كل البيانات. أما حماية البيانات الشخصية فتنظم جمع بيانات الأفراد ومعالجتها ومشاركتها تحديدًا.

ماذا أفعل بالبيانات التي لم تُصنف بعد؟

بعض السياسات القطاعية تعاملها على أنها في المستوى الأعلى حتى تُصنف. الأفضل تصنيفها بسرعة بدل ترك الحكم للتقدير.

هل تصنيف البيانات مطلوب للشركات الخاصة؟

السياسات الوطنية موجهة أساسًا للجهات الحكومية والقطاعات المنظمة. لكن أي شركة تعالج بيانات شخصية أو بيانات عملاء حساسة تستفيد من تصنيف البيانات، لأنه الطريق العملي لتطبيق الحماية المطلوبة نظامًا وإثباتها عند التدقيق.