حوكمة البيانات: الإطار والأدوار وعلاقتها بالامتثال

كل مؤسسة تجمع بيانات أكثر مما تتخيل: سجلات عملاء، ملفات موظفين، فواتير، رسائل بريد. السؤال الذي يطرحه المدقق أو المهاجم واحد: من يملك هذه البيانات، ومن يصل إليها، وأين تُحفظ؟

حوكمة البيانات هي الإجابة المنظّمة عن هذا السؤال. في هذا الدليل نشرح مكوّنات إطار حوكمة البيانات، والأدوار التي يجب تحديدها، وكيف ترتبط بالامتثال لأنظمة المملكة.

ما هي حوكمة البيانات؟

حوكمة البيانات مجموعة قواعد وعمليات تضمن أن تُدار أصول البيانات بشكل رسمي في المؤسسة كلها. هي تحدد من يتخذ القرار بشأن البيانات، وبأي صلاحية، ووفق أي معايير.

تصف ويكيبيديا حوكمة البيانات بأنها مصطلح يُستخدم على مستويين: المستوى الكلي بين الدول، والمستوى الجزئي داخل المؤسسة الواحدة.

الفرق بين حوكمة البيانات وإدارة البيانات

يخلط كثيرون بين المصطلحين، والفرق بسيط:

حوكمة البيانات تضع القواعد: من يملك، ومن يوافق، وما المعيار المطلوب.

إدارة البيانات تنفّذ القواعد يوميًا: التخزين، النسخ الاحتياطي، التنظيف، النقل بين الأنظمة.

بمعنى آخر، الحوكمة هي "ماذا ولماذا"، والإدارة هي "كيف".

المستوى الوطني والمستوى المؤسسي

على المستوى الوطني تضع الدولة سياسات عامة تُلزم الجهات. وعلى المستوى المؤسسي تترجم كل جهة هذه السياسات إلى إجراءات داخلية واضحة.

مكوّنات إطار حوكمة البيانات

أي إطار ناجح يقوم على ثلاثة عناصر مترابطة. إذا غاب أحدها تحوّل الإطار إلى وثيقة على الرف.

الأشخاص

مالك البيانات: مسؤول إداري يقرر من يحق له الوصول إلى مجموعة بيانات معينة.

أمين البيانات (Data Steward): يتابع جودة البيانات ودقتها وتطبيق المعايير عليها.

المستخدم: أي موظف يقرأ البيانات أو يعدّلها ضمن صلاحياته.

العمليات

إجراء طلب الوصول والموافقة عليه وسحبه.

قواعد جودة البيانات: الاكتمال، الدقة، التحديث.

مدة الاحتفاظ بكل نوع من البيانات، وطريقة إتلافه الآمن.

آلية الإبلاغ عن أي تسريب أو استخدام غير مصرّح.

التقنية

فهرس بيانات (Data Catalog) يوضح أين توجد كل مجموعة بيانات.

ضبط الصلاحيات بحسب الدور الوظيفي.

سجلات تدقيق تحفظ من وصل إلى ماذا ومتى.

الأدوار والمسؤوليات داخل المؤسسة

النقطة التي تتعثر عندها أغلب البرامج ليست التقنية، بل غموض المسؤولية. عندما يقول الجميع "هذه ليست بياناتي" تصبح البيانات بلا حارس.

لجنة البيانات

لجنة صغيرة من الإدارة العليا وممثلي الأقسام. مهمتها:

اعتماد السياسات والمعايير.

حسم الخلافات حول ملكية البيانات.

مراجعة مؤشرات الالتزام كل ربع سنة.

مكتب إدارة البيانات في الجهة

فريق تنفيذي يتابع التطبيق اليومي ويرفع التقارير للجنة. في الجهات الصغيرة قد يكون شخصًا واحدًا بدوام جزئي، وهذا مقبول ما دامت المسؤولية مكتوبة وواضحة.

حوكمة البيانات في السعودية

تملك المملكة مرجعية وطنية واضحة لهذا المجال، وهذا يسهّل على المؤسسات بناء برامجها بدل البدء من الصفر.

دور مكتب إدارة البيانات الوطنية

بحسب سعوديبيديا، تأسس مكتب إدارة البيانات الوطنية عام 1441هـ/2019م، ويرتبط تنظيميًا بالهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). وهو الجهة التنظيمية والمرجعية الوطنية لإدارة البيانات وحوكمتها، ويضع السياسات والمعايير ويتابع الالتزام بها.

السياسات الوطنية لحوكمة البيانات

أقرّ المكتب سبع سياسات لحوكمة البيانات الوطنية، من بينها:

سياسة تصنيف البيانات: أربعة مستويات هي سري للغاية، سري، مقيد، متاح.

سياسة حماية البيانات الشخصية: تنظّم جمع البيانات ومعالجتها ومشاركتها.

سياسة مشاركة البيانات: تعزز تبادل البيانات بين الجهات الحكومية.

سياسة حرية المعلومات: تنظم اطلاع المستفيدين على المعلومات العامة.

سياسة حماية البيانات الشخصية للأطفال.

القواعد العامة لنقل البيانات الشخصية خارج المملكة.

اللافت أن هذه الضوابط تُطبَّق على البيانات بكل أشكالها، الورقية منها والرقمية، بما في ذلك رسائل البريد والاجتماعات والصور والوثائق المكتوبة بخط اليد.

ما الذي تكسبه المؤسسة من حوكمة البيانات؟

قد يبدو الأمر عبئًا إداريًا إضافيًا، لكن العائد ملموس عندما تُطبَّق القواعد بجدية. من أبرز الأهداف التي تسعى إليها المؤسسات:

قرارات أدق: عندما تثق الإدارة في جودة الأرقام، تتخذ قراراتها بسرعة أكبر.

تقليل الغرامات: الالتزام الموثّق يقلل التعرض للمخالفات التنظيمية.

أمن أقوى: معرفة مكان البيانات الحساسة شرط لحمايتها.

محاسبة واضحة: كل خطأ في البيانات له مسؤول يعالجه.

إنتاجية أعلى: يقل العمل المكرر عندما يعرف الموظف المصدر الصحيح للمعلومة.

مثال يوضح الفكرة

تخيّل شركة لديها نسختان من قائمة العملاء: واحدة لدى المبيعات وأخرى لدى خدمة العملاء. يطلب عميل حذف بياناته، فتحذفها خدمة العملاء وتبقى لدى المبيعات. النتيجة رسالة تسويقية تصل لعميل طلب الحذف، وشكوى محتملة.

هذا النوع من المشكلات لا يحلّه برنامج حماية، بل يحله تحديد مالك واحد للبيانات ومصدر واحد معتمد لها.

مؤشرات تقيس بها نجاح البرنامج

لا تكتفِ بالقول إن البرنامج "يعمل". ضع مؤشرات بسيطة تراجعها دوريًا:

نسبة مجموعات البيانات التي لها مالك محدد.

نسبة البيانات المصنفة وفق المستويات المعتمدة.

عدد طلبات الوصول المعلقة ومتوسط زمن الرد عليها.

نسبة الموظفين الذين أقرّوا بقراءة السياسات.

عدد الحوادث المرتبطة بسوء التعامل مع البيانات.

هذه الأرقام تعطي اللجنة صورة واضحة، وتصبح دليلًا جاهزًا عند أي تدقيق.

علاقة حوكمة البيانات بالامتثال والأمن السيبراني

الامتثال لا يعني أن تكتب سياسة، بل أن تثبت أنك تطبّقها. والحوكمة هي التي تنتج هذا الدليل.

مع نظام حماية البيانات الشخصية: لا يمكنك الاستجابة لطلب صاحب بيانات إذا كنت لا تعرف أين تُحفظ بياناته. راجع شرحنا لـقانون حماية البيانات الشخصية.

مع الأمن السيبراني: التصنيف يحدد مستوى الحماية، والصلاحيات تقلل أثر أي اختراق.

مع الحوكمة العامة: هي جزء من منظومة أكبر هي حوكمة الأمن السيبراني.

خطوات بناء برنامج حوكمة البيانات

إليك ترتيبًا عمليًا نراه يعمل مع المؤسسات متوسطة الحجم:

حصر البيانات: أين توجد؟ في أي أنظمة؟ ومن يستخدمها؟

تحديد المالكين: لكل مجموعة بيانات مالك واحد باسمه.

التصنيف: طبّق مستويات التصنيف الوطنية على كل مجموعة.

كتابة السياسات: الوصول، الاحتفاظ، الإتلاف، المشاركة.

ضبط الصلاحيات تقنيًا: وفق مبدأ الحد الأدنى من الصلاحيات.

التدريب والقياس: درّب الموظفين، ثم قِس الالتزام وراجع كل ربع سنة.

ابدأ بمجموعة بيانات واحدة حساسة، مثل بيانات العملاء، ثم توسّع. البرامج التي تحاول تغطية كل شيء دفعة واحدة تتعثر غالبًا.

من أين تبدأ إذا كانت مواردك محدودة؟

لا تحتاج فريقًا كبيرًا في البداية. يكفي جدول بسيط يضم اسم كل مجموعة بيانات، ومكانها، ومالكها، ومستوى تصنيفها. هذا الجدول وحده يكشف لك أين توجد الثغرات الأكبر، ويصبح نواة فهرس البيانات لاحقًا.

أخطاء شائعة تُفشل مشاريع حوكمة البيانات

اعتبارها مشروعًا تقنيًا فقط: شراء أداة وحده لا يصنع حوكمة.

سياسات طويلة لا يقرؤها أحد: الموظف يحتاج قواعد قصيرة يفهمها.

إهمال البيانات الورقية والبريد: التسريبات لا تأتي من قواعد البيانات وحدها.

غياب القياس: إذا لم تقس الالتزام فلن تعرف إن كان البرنامج يعمل.

إشراك الأقسام في وقت متأخر: عندما تُفرض القواعد من فوق دون استشارة من يستخدم البيانات يوميًا، تظهر طرق التفاف عليها بسرعة.

عدم تحديث السياسات: الأنظمة والأعمال تتغير، والسياسة التي لا تُراجع سنويًا تفقد قيمتها.

نسيان العنصر البشري: موظف واحد يرسل ملفًا مصنفًا "سري" إلى بريده الشخصي يكفي لإحداث مخالفة.

الخلاصة

حوكمة البيانات ليست ترفًا تنظيميًا. هي الطريقة الوحيدة لتعرف ما لديك من بيانات، ومن المسؤول عنها، وكيف تحميها وتثبت ذلك للجهات الرقابية.

ابدأ صغيرًا، وحدد المالكين، وطبّق التصنيف الوطني، ثم اجعل الموظفين جزءًا من البرنامج لا مجرد متلقين له. ولمن يريد التوسع في الجانب القانوني، يفيده دليلنا عن حماية البيانات الشخصية.

حوّل سياسات حوكمة البيانات إلى التزام فعلي مع PLCY-X

أصعب جزء في التطبيق هو التأكد أن كل موظف قرأ السياسة ووافق عليها وفهمها. منصة PLCY-X لإدارة السياسات تنشر سياساتك، وتجمع إقرارات الموظفين، وتعطيك تقارير التزام جاهزة للتدقيق.

تعرّف على حلول CyberX للتوعية بالأمن السيبراني، أو تواصل معنا لحجز عرض توضيحي.

الأسئلة الشائعة

ما الفرق بين حوكمة البيانات وحماية البيانات؟

الحوكمة تحدد القواعد والمسؤوليات لكل البيانات. أما حماية البيانات فهي جزء منها يركز على منع الوصول غير المصرّح وحماية البيانات الشخصية.

من المسؤول عن حوكمة البيانات في المؤسسة؟

المسؤولية النهائية على الإدارة العليا عبر لجنة البيانات. والتنفيذ اليومي على مكتب إدارة البيانات ومالكي البيانات في كل قسم.

هل حوكمة البيانات إلزامية في السعودية؟

سياسات مكتب إدارة البيانات الوطنية تُلزم الجهات الحكومية بشكل مباشر. والشركات التي تعالج بيانات شخصية ملزمة بنظام حماية البيانات الشخصية، وهو ما يتطلب حوكمة فعلية للبيانات.

كم يستغرق بناء برنامج حوكمة البيانات؟

يختلف بحسب حجم المؤسسة. البدء بمجموعة بيانات واحدة حساسة يعطي نتائج ملموسة أسرع من مشروع شامل.

ما علاقة تصنيف البيانات بحوكمة البيانات؟

التصنيف أحد أعمدة حوكمة البيانات. فهو يحدد مستوى الحماية المطلوب لكل نوع، وعلى أساسه تُضبط الصلاحيات وقواعد المشاركة والإتلاف.