سيادة البيانات في أمن السحابة الهجينة
- تشمل سيادة البيانات السحابية القوانين التي تحكم البيانات ومن يحق له الوصول إليها، وليس الموقع فحسب.
- تشكل أدوات الأمن تهديدًا للسيادة لأنها تقوم بفك تشفير حركة المرور، ونسخ الأدلة، وتصدير السجلات.
- اسأل عن المكان الذي تجري فيه عمليات الفحص، وما هي البيانات التي يتم إرسالها، وأين تُخزَّن السجلات، ومن يمكنه الوصول إلى البيانات التي تم فك تشفيرها.
- يمكن أن تدعم عمليات الفحص المحلية، وتسجيل الأنشطة مع مراعاة موقع الإقامة، والمفاتيح التي يتحكم فيها العميل متطلبات السيادة؛ كما يمكنها التحقق من صحة كل مسار للمعالجة والوصول.
- يجعل «إطار عمل الاتحاد الأوروبي لسيادة السحابة» وقانون «DORA» السيادة متطلبًا قابلًا للقياس في مجالي المشتريات والامتثال.
تُعد سيادة البيانات في مجال أمن السحابة الهجينة مجالًا يهدف إلى ضمان أن تتم معالجة البيانات الحساسة — بما في ذلك النسخ والبيانات الوصفية التي تنشأ عن الضوابط الأمنية — وتخزينها والوصول إليها فقط بالطرق التي تقبلها المؤسسة المالكة والجهات التنظيمية التابعة لها. وفي بيئة هجينة، يتطلب ذلك اتخاذ قرار مدروس بشأن الوظائف الأمنية التي يتم تشغيلها محليًّا وتلك التي يمكن تشغيلها في سحابة المزود.
هذه المقالة جزء من دليل أمن السحابة الهجينة. وهي تتضمن معلومات عامة، وليست مشورة قانونية. يرجى التأكد من المتطلبات مع فرق الشؤون القانونية والامتثال في مؤسستك.
مكان تخزين البيانات مقابل سيادة البيانات مقابل توطين البيانات
«موقع تخزين البيانات» هو المكان الذي تُخزَّن فيه البيانات، و«توطين البيانات» هو الشرط القانوني الذي يقتضي الاحتفاظ بها داخل البلاد، أما «سيادة البيانات» فهي القوانين التي تحكمها ومن يحق له الوصول إليها.
| المصطلح | ماذا يعني ذلك | سؤال نموذجي |
|---|---|---|
| مكان تخزين البيانات | المكان الذي تُخزَّن فيه البيانات فعليًّا | هل تقع قاعدة بيانات عملائنا في إحدى مناطق الاتحاد الأوروبي؟ |
| توطين البيانات | شرط قانوني يقضي ببقاء بيانات معينة داخل البلد | هل يجب أن تظل هذه الفئة من البيانات داخل البلاد؟ |
| سيادة البيانات | ما هي القوانين التي تنظم البيانات، ومن الذي يمكنه فرض الوصول إليها أو الحصول عليها؟ | هل يمكن لسلطة أجنبية أو لموظف لدى المزود الوصول إليها؟ |
يُعد التخزين المحلي شرطًا ضروريًّا ولكنه ليس كافيًّا. فما زال من الممكن لموظفي المزود في أماكن أخرى الوصول إلى البيانات المخزنة في المنطقة، أو إجبارهم على ذلك بموجب قوانين أجنبية، أو نسخها إلى سجلات وأنظمة دعم في بلدان أخرى.
لماذا تشكل أدوات الأمن تهديدًا للسيادة؟
تشكل أدوات الأمن خطرًا على السيادة لأنها تتعامل مع البيانات الأكثر حساسية في المؤسسة، غالبًا في شكل غير مشفر، وتقوم بنسخها إلى السجلات والأدلة.
نقاط التعرض الرئيسية هي:
- الفحص. تقوم بوابة الويب الآمنة ( secure web gateway ) بفك تشفير حركة مرور TLS لفحصها. وفي تلك اللحظة، تصبح بيانات الاعتماد والبيانات الشخصية والوثائق السرية متوفرة في شكل نص عادي في أي مكان تعمل فيه البوابة.
- نسخ الأدلة. قد تقوم محركات DLP بتخزين نسخ أو مقتطفات من المحتوى الذي أدى إلى تفعيل إحدى السياسات، وذلك لكي يقوم المحققون بمراجعتها.
- السجلات والقياس عن بُعد. تتدفق عناوين URL وأسماء الملفات وهويات المستخدمين وتفاصيل الأجهزة إلى منصات التسجيل والتحليلات، وغالبًا ما يكون ذلك في المنطقة المركزية الخاصة بالمورد.
- تحليل التهديدات. قد يتم إرسال الملفات المشبوهة إلى بيئات الاختبار السحابية لتفجيرها.
- الوصول إلى الدعم. قد يتمكن مهندسو المزود من الاطلاع على بيانات المستأجر أثناء عملية استكشاف الأخطاء وإصلاحها.
وبالتالي، يمكن للبنية الأمنية القائمة على السحابة وحدها نقل البيانات عبر الحدود حتى في الحالات التي لا تقوم فيها تطبيقات المؤسسة ووسائل التخزين الخاصة بها بذلك مطلقًا.
الأسئلة الأربعة المتعلقة بالسيادة في أي هيكل أمني
هناك أربعة أسئلة تحدد الموقف السيادي لأي بنية أمنية: أين يتم التفتيش، وما الذي يخرج من البيئة، وأين تُخزَّن السجلات، ومن يمكنه الوصول إلى البيانات الحساسة.
1. أين تتم عملية التفتيش؟
تحديد كل نقطة يتم فيها فك تشفير حركة المرور: الأجهزة المحلية، ونقاط التواجد السحابية، وعناصر التحكم في المتصفح، ووكلاء النقاط الطرفية. يمكن أن يضمن الفحص المحلي بقاء الجزء الخاضع للتنفيذ محليًّا من التدفق الخاضع للتنظيم ضمن البنية التحتية الخاصة بالمؤسسة. كما يجب تقييم أي عملية إعادة توجيه إلى الخدمات السحابية وموقع أدلة الحوادث بشكل منفصل. توصي إرشادات وكالة الأمن القومي (NSA) بشأن فحص بروتوكول TLS بإجراء الفحص مرة واحدة فقط، داخل شبكة المؤسسة، للحد من أماكن وجود النص العادي.
2. ما الذي يخرج من البيئة؟
اذكر ما الذي ترسله البنية الأمنية خارج البنية التحتية الخاصة بك: حمولات كاملة، أو عينات من الملفات لاختبارها في بيئة العزل، أو أدلة على حوادث تسرب البيانات (DLP)، أو بيانات وصفية، أو لا شيء سوى تحديثات السياسات. ويمكن التحكم في كل عنصر من هذه العناصر بطريقة مختلفة.
3. أين توجد السجلات؟
السجلات هي بيانات. تربط سجلات الوصول بين الهويات والأنشطة، وقد تحتوي سجلات منع تسرب البيانات (DLP) على المحتوى الحساس نفسه. حدد أي السجلات يمكن نقلها خارج أي نطاق قضائي، وما إذا كان يمكن تخزين السجلات محليًّا وإعادة توجيهها بشكل انتقائي إلى نظام SIEM مركزي.
4. من يمكنه الوصول إلى البيانات الحساسة؟
حدد الجهات التي يمكنها الاطلاع على المحتوى الذي تم فك تشفيره أو أدلة الحوادث: المسؤولون لديك، أو مزود الخدمة المُدارة، أو فريق الدعم التابع لمزود حلول الأمان، أو مزود الخدمة السحابية. ثم ضع في اعتبارك الأنظمة القانونية التي قد تجبر أيًا منهم على الكشف عن هذه المعلومات. فعلى سبيل المثال، يوضح قانون «CLOUD Act» الأمريكي أن السلطات الأمريكية يمكنها أن تطلب من مزودي الخدمة المقيمين في الولايات المتحدة تقديم البيانات الموجودة في حوزتهم أو تحت سيطرتهم، بغض النظر عن مكان تخزينها.
العوامل التنظيمية وعوامل المشتريات
إن قواعد نقل البيانات بموجب اللائحة العامة لحماية البيانات (GDPR)، وإطار عمل الاتحاد الأوروبي لسيادة السحابة، وقانون DORA، والقواعد القطاعية، كلها عوامل تحول السيادة من مجرد تفضيل إلى متطلب لا غنى عنه.
قواعد نقل البيانات بموجب اللائحة العامة لحماية البيانات (GDPR). بموجب الفصل الخامس من اللائحة العامة لحماية البيانات (GDPR)، يتطلب نقل البيانات الشخصية خارج المنطقة الاقتصادية الأوروبية صدور قرار بالملاءمة، أو اتخاذ ضمانات مناسبة مثل البنود التعاقدية الموحدة، أو الحصول على استثناء محدد. وتخضع بيانات القياس عن بُعد الأمنية التي تتضمن بيانات شخصية لنفس القواعد.
إطار عمل الاتحاد الأوروبي لسيادة السحابة. يُقيّم إطار عمل سيادة السحابة التابع للمفوضية الأوروبية، الذي عُرض لأول مرة في أكتوبر 2025، مزودي خدمات السحابة وفقًا لثمانية أهداف: الأهداف الاستراتيجية، والقانونية والاختصاصية، والبيانات والذكاء الاصطناعي، والتشغيلية، وسلسلة التوريد، والتكنولوجية، والأمنية والامتثال، والاستدامة البيئية. ويحصل مزودو الخدمات على «مستوى ضمان فعالية السيادة» (SEAL) يتراوح بين 0 و4. وفي أبريل 2026، منحت المفوضية عقدًا للسحابة السيادية بقيمة تصل إلى 180 مليون يورو لأربعة مزودين، شريطة حصولهم على مستوى SEAL-2 على الأقل، وهو مستوى سيادة البيانات. وقد صيغ هذا الإطار لمؤسسات الاتحاد الأوروبي، لكنه يوفر لكل مشترٍ مصطلحات عملية لمتطلبات السيادة.
قانون «دورا» (DORA) الخاص بالكيانات المالية. دخل قانون المرونة التشغيلية الرقمية حيز التنفيذ اعتبارًا من 17 يناير 2025. ويُلزم هذا القانون الكيانات المالية الخاضعة لنطاقه بإدارة مخاطر الأطراف الثالثة في مجال تكنولوجيا المعلومات والاتصالات، والاحتفاظ بسجل لترتيبات خدمات تكنولوجيا المعلومات والاتصالات، والتخطيط لمخاطر الانسحاب والتركيز. وتُعتبر خدمات الأمن التي تعالج حركة مرور البيانات الخاصة بالبنك خدمات تكنولوجيا المعلومات والاتصالات بموجب هذا النظام.
القواعد القطاعية والوطنية. غالبًا ما تواجه مؤسسات الرعاية الصحية والدفاع والقطاع العام والبنية التحتية الحيوية متطلبات إضافية تتعلق بالتوطين أو الاعتماد.
بنية السحابة الهجينة للقطاع المصرفي
عادةً ما تحتفظ البنوك بعمليات فك التشفير وسجلات الأنشطة على بنيتها التحتية الخاصة، بينما تستخدم خدمات سحابية مقيدة حسب المنطقة للموظفين العاملين عن بُعد وخدمات البرمجيات كخدمة (SaaS).
تُجسِّد البنوك مشكلة السيادة بوضوح. فهي بحاجة إلى خدمات SaaS السحابية والعمل عن بُعد، لكنها في الوقت نفسه تحتفظ ببيانات العملاء المالية في ظل متطلبات رقابية صارمة. ونموذج هجين نموذجي هو:
- يجب الحفاظ على تدفقات البيانات المنظمة بين الفروع والمقر الرئيسي في إطار الإجراءات التنفيذية التي تسيطر عليها البنك عندما تكون المعالجة المحلية مطلوبة، وتقييم أي خدمات تُطبق عبر السحابة وتخزين الأدلة بشكل منفصل.
- استخدم نقاط التواجد السحابية المقتصرة على المناطق المعتمدة للموظفين العاملين عن بُعد.
- تخزين سجلات التفتيش وأدلة DLP داخل البلد، مع إرسال ما تحتاجه لجنة المراقبة (SOC) فقط.
- استخدم مفاتيح يتحكم فيها العميل ووحدات أمان الأجهزة لسلطة إصدار الشهادات.
- الحفاظ على مجموعة واحدة من السياسات لضمان اتساق تطبيق السياسات على المستوى المحلي وفي السحابة بالنسبة للمراجعين.
- توثيق مورد خدمات الأمن في سجل المعلومات الخاص بـ DORA، بما في ذلك خطة الخروج.
وينطبق النمط نفسه على شركات التأمين ومؤسسات الدفع وشركات الاستثمار.
أنماط الهندسة المعمارية التي تدعم السيادة
هناك سبعة أنماط معمارية تلبي معظم متطلبات السيادة دون التخلي عن خدمات السحابة.
| النمط | ما الذي يتناوله |
|---|---|
| التفتيش الأمني المحلي | تظل الحمولات الويب التي تم فك تشفيرها على البنية التحتية الخاصة بك؛ أما حركة المرور التي يتم توجيهها إلى الخدمات المطبقة في السحابة فلا تظل عليها |
| مراكز التواجد الإقليمية أو المحلية | يقتصر التفتيش السحابي على الولايات القضائية المعتمدة |
| التسجيل المراعي لموقع الإقامة | تخزين السجلات محليًّا؛ إعادة التوجيه الانتقائي |
| المفاتيح التي يديرها العميل والتكامل مع وحدة إدارة الأمان (HSM) | التحكم في شهادات الفحص والتشفير |
| عناوين IP مخصصة للخروج | تنطلق حركة المرور من عناوين مملوكة للمؤسسة، مما يدعم متطلبات الاختصاص القضائي وسمعة عناوين IP |
| بيئة العزل المحلية | تحليل الملفات المشبوهة دون الخروج من البيئة |
| محرك سياسات واحد | معالجة البيانات بشكل متسق بغض النظر عن نقطة التنفيذ |
قائمة مراجعة السيادة لمزودي خدمات الأمن
استخدم قائمة المراجعة هذه للتحقق من صحة ادعاءات أي مزود خدمات أمنية بشأن سيادته قبل إدراجه في القائمة المختصرة.
- هل يمكن تنفيذ جميع عمليات الفحص الخاصة بفئة حركة مرور معينة على بنيتنا التحتية؟
- ما هي عناصر البيانات التي تُرسل من نظامنا بشكل افتراضي، وهل يمكن تعطيل كل منها؟
- في أي البلدان يتم تخزين السجلات والأدلة وبيانات القياس عن بُعد؟
- من هم موظفو المورد الذين يمكنهم الوصول إلى بيانات المستأجرين، ومن أين، وبموجب أي موافقة؟
- ما هي قوانين الولايات القضائية التي تنطبق على البائع ومزودي الخدمات الفرعيين التابعين له؟
- هل يمكننا استخدام وحدة HSM الخاصة بنا أو نظام إدارة المفاتيح الخاص بنا؟
- ما الذي سيظل يعمل في حال تعذر الوصول إلى السحابة الخاصة بالمزود؟
- ما هي الشهادات المعمول بها (مثل FedRAMP، IRAP، BSI C5، SOC 2 من النوع الثاني، CSA STAR)؟
كيف تدعم «سكايهاي» سيادة البيانات
تدعم Skyhigh سيادة البيانات من خلال الاحتفاظ بعمليات فحص الويب ومفاتيح الفحص على البنية التحتية الخاصة بالعميل عند الحاجة. ويتم الاحتفاظ بأدلة حوادث حماية البيانات في سحابة Skyhigh، وهو أمر منفصل يتعين الإجابة عنه في ضوء متطلبات سيادتكم.
تحافظ شبكة Skyhigh Hybrid SSE Mesh على بقاء مستوى البيانات ماديًّا داخل المنشأة حيثما تتطلب ذلك متطلبات الامتثال. يتم تنفيذ فك تشفير SSL/TLS وفحص محتوى الويب محليًّا على بوابة الخدمات الآمنة (Secure Service Gateway)، وبالتالي يتم فك تشفير حمولات الويب داخل البنية التحتية الخاصة بك. تتلقى الخدمات التي يتم تطبيقها عبر سحابة Skyhigh — بما في ذلك حماية البيانات، و remote browser isolation ، وضوابط الأمان القائمة على الذكاء الاصطناعي (AI)، وCASB، وإدارة حالة أمان البيانات — حركة المرور ذات الصلة من البوابة؛ لذا قم بتحديد نطاق تلك التدفقات وفقًا لمتطلباتك المتعلقة بالاحتفاظ بالبيانات والسيادة. يعمل ZTNA المحلي على بوابات المؤسسة الخاصة. تأكد من حماية مفتاح الفحص، وأي تكامل مع HSM، ودعم بيئة الحماية المعزولة (sandboxing) داخل الموقع للمنتجات والإصدارات المحددة. تساعد عناوين IP المخصصة للخروج وتثبيت عناوين IP المصدر في التحكم في خروج حركة المرور التي يتم فحصها عبر السحابة، ولكنها لا تحدد بمفردها المكان الذي تتم فيه معالجة المحتوى (Skyhigh Security). كما يقوم سجل السحابة الخاص بالمنصة بتقييم الخدمات السحابية بناءً على مقر البيانات والشروط القانونية وسمات أخرى، بحيث يمكن للسياسة توجيه المستخدمين نحو الخدمات المتوافقة.
المصادر
- الاتحاد الأوروبي. اللائحة (EU) 2016/679 (اللائحة العامة لحماية البيانات)، الفصل الخامس. https://eur-lex.europa.eu/eli/reg/2016/679/oj
- الاتحاد الأوروبي. اللائحة (EU) 2022/2554 (قانون المرونة التشغيلية الرقمية). https://eur-lex.europa.eu/eli/reg/2022/2554/oj
- المفوضية الأوروبية. «شرح إطار عمل السحابة السيادية» (1 يونيو 2026). https://commission.europa.eu/news-and-media/news/sovereign-cloud-framework-explained-2026-06-01_en
- المفوضية الأوروبية. «المفوضية تعزز سيادة السحابة من خلال المشتريات الاستراتيجية» (17 أبريل 2026). https://commission.europa.eu/news-and-media/news/commission-advances-cloud-sovereignty-through-strategic-procurement-2026-04-17_en
- وزارة العدل الأمريكية. موارد قانون CLOUD. https://www.justice.gov/criminal/cloud-act-resources
- وكالة الأمن القومي (NSA). إدارة المخاطر الناجمة عن فحص بروتوكول أمان طبقة النقل (TLS) (نوفمبر 2019). https://media.defense.gov/2019/Nov/18/2002212783/-1/-1/0/MANAGING%20RISK%20FROM%20TLS%20INSPECTION_20191106.PDF
- Skyhigh Security. «تحديث نظام « Secure Web Gateway » الخاص بـ Symantec Edge باستخدام شبكة Skyhigh Hybrid SSE Mesh» (15 يوليو 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. «أصبح اعتماد النمط الهجين أسهل بفضل منصة Skyhigh SSE» (3 أكتوبر 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html