‏حماية البيانات

تستند معظم تعريفات حماية البيانات إلى ثلاثة أهداف مترابطة، لكنها متمايزة. تحمي كل ركيزة البيانات نفسها بطريقة مختلفة، لذلك يترك البرنامج الذي يغطي ركيزة واحدة فقط ثغرات. يوضح الجدول ما يعنيه كل هدف عمليًا بالنسبة إلى البيانات الحساسة:

غالبًا ما يُستخدم مصطلح حماية البيانات بشكل فضفاض، لذا من المفيد تمييزه عن ثلاثة مصطلحات مجاورة:

أمن البيانات مفهوم أضيق، ويشير إلى الضوابط التقنية، مثل التشفير والتحكم في الوصول وجدران الحماية، التي تحافظ على سرية البيانات وسلامتها. أما حماية البيانات فأوسع، إذ تشمل أيضًا النسخ الاحتياطي والاسترداد والاحتفاظ وسياسة دورة الحياة.

خصوصية البيانات تتعلق بالحقوق التي يملكها الأفراد على معلوماتهم الشخصية: ما الذي يُجمع منها، ولأي غرض، ومع من تُشارك. وحماية البيانات هي الانضباط التشغيلي الذي يجعل التزامات الخصوصية هذه قابلة للتطبيق عمليًا.

حوكمة البيانات تضع القواعد والملكية والمساءلة بشأن إدارة البيانات داخل المؤسسة. أما حماية البيانات فتنفذ الجزء من هذه القواعد الذي يحافظ على أمان البيانات.

لا تفرض اللوائح التي تلزم بحماية البيانات، مثل اشتراط GDPR بـ«تدابير تقنية وتنظيمية مناسبة»، مجموعة أدوات واحدة محددة. لكن عمليًا، تجمع معظم البرامج العناصر الأساسية نفسها:

• تشفير البيانات أثناء التخزين وأثناء النقل، بحيث تبقى البيانات المعترَضة أو المسروقة غير قابلة للقراءة دون المفتاح.
• التحكم في الوصول والمصادقة، لتحديد من يمكنه عرض البيانات أو تعديلها أو تصديرها بحسب الدور والحاجة الفعلية.
• النسخ الاحتياطي والاسترداد، للاحتفاظ بنسخ قابلة للاسترداد، حتى لا يؤدي عطل الأجهزة أو هجوم الفدية أو الخطأ البشري إلى فقدان دائم.
• منع فقدان البيانات (DLP)، بمراقبة وحظر القنوات التي قد تخرج عبرها البيانات الحساسة عن سيطرة المؤسسة، سواء عن طريق الخطأ أو عمدًا.
• تصنيف البيانات واكتشافها، لتطبيق ضوابط الحماية حيث يوجد المحتوى الحساس فعلًا، لا بشكل موحد أو دون تطبيق إطلاقًا.
• سياسة الاحتفاظ بالبيانات والتخلص منها، فلا تُحفظ البيانات إلا للمدة اللازمة، ثم تُعقَّم أو تُتلف بشكل سليم.

تفشل الحماية عندما لا يتولى أحد مسؤولية القرارات. وتزيد التهديدات الداخلية الأمر سوءًا، لأن الموظفين الذين يملكون وصولًا مشروعًا قد يكشفون البيانات أيضًا.

في وحدة تحكم Anexet، تحدد قواميس الكلمات المفتاحية أنواع المحتوى الحساس التي يتعرف عليها النظام، مثل أرقام البطاقات وأرقام الضمان الاجتماعي أو المصطلحات المالية. ثم تقرر قاعدة الحظر ما يحدث عندما يظهر هذا المحتوى في عملية نقل. تُضبط الاثنتان في Anexet DLP، ويُشرح منطق التطبيق في حظر نقل البيانات.

1 / 2

• 
• 

حماية البيانات مصطلح قانوني أيضًا. فقد سنّت دول كثيرة قوانين تحوّل بعض هذه التدابير من ممارسات فضلى إلى التزامات ملزمة.

اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR) هي المثال الأكثر تأثيرًا. وتنطبق على أي مؤسسة تعالج بيانات شخصية لمقيمين في الاتحاد الأوروبي، وتشترط ضمانات تقنية ومساءلة قابلة للإثبات.

لا يوجد في الولايات المتحدة قانون فيدرالي واحد لحماية البيانات. تُطبَّق بدلًا من ذلك قواعد قطاعية، مثل HIPAA لمعلومات الصحة وGLBA للبيانات المالية، إلى جانب قوانين الولايات، مثل CCPA/CPRA في كاليفورنيا.

اعتمدت جهات قضائية أخرى أطرًا مماثلة، منها قانون LGPD البرازيلي وعدد من القوانين الوطنية لحماية البيانات، كثير منها مستوحى جزئيًا من بنية GDPR.

تختلف هذه القوانين في نطاقها وآليات إنفاذها، لكنها تشترك في بنية عامة. فهي تحدد ما يُعد بيانات محمية، وتلزم المؤسسات بتطبيق ضمانات كافية، وتفرض عقوبات، وغالبًا غرامات كبيرة، عند كشف البيانات نتيجة الإهمال.

كثيرًا ما تُعامَل حماية البيانات كقائمة امتثال تُنجز مرة واحدة. غير أن الخطر الكامن وراءها مستمر: تُنشأ بيانات جديدة يوميًا، ويغيّر الموظفون أدوارهم واحتياجاتهم إلى الوصول، وتنتقل وحدات التخزين إلى خدمات سحابية جديدة، ويطوّر المهاجمون تقنيات جديدة لتسريب البيانات.

لذلك تجمع البرامج الفعالة بين ثلاث ممارسات مستمرة، بدلًا من تدقيق واحد سرعان ما يصبح متجاوزًا:

1. 1

   الاكتشاف

   المتابعة المستمرة لمكان وجود البيانات الحساسة.

2. 2

   المراقبة

   تتبّع كيفية تنقل البيانات الحساسة عبر القنوات.

3. 3

   مراجعة الصلاحيات

   التحقق دوريًا ممن لا يزال يملك صلاحية الوصول إليها.

ابدأ بالبيانات التي يسبب تسريبها أكبر ضرر، ثم حدد القنوات التي تنتقل عبرها فعليًا. فالسياسات التي تُكتب لكل الملفات دفعة واحدة تنتهي بعرقلة العمل اليومي وتُعطَّل.

للمزيد من القراءة: كيف أحافظ على سلامة بياناتي الشخصية؟; استخدام نظام Anexet Ultimate DLP للامتثال لـ GDPR.