حين يُخترَق نظام وتتسرّب بياناته، يشتعل سؤال واحد قبل أي شيء: من المسؤول؟ يشير صاحب النظام بأصابعه إلى شركة التطوير، وتردّ الشركة بأن العميل أهمل التحديثات، ويتنصّل مزوّد الاستضافة من الطرفين. الحقيقة أن مسؤولية اختراق النظام نادراً ما تقع على طرف واحد؛ فهي مسؤولية موزّعة بين أطراف متعدّدة، وحدودها لا تُرسَم لحظة الأزمة بل قبلها بكثير في العقد الذي وقّعه الجميع وهم في عافية.
في هذا المقال نفكّك هذا التوزيع بإنصاف: أين تبدأ مسؤولية شركة التطوير وأين تنتهي، وما الذي يقع على عاتق مالك النظام ومستخدميه، وما دور مزوّد الاستضافة، وكيف يحسم العقد الجيّد هذه الحدود قبل وقوع الحادث، وما الإطار النظامي لحماية البيانات في السعودية. الهدف أن تدخل أي تعاقد تقني وأنت تعرف مسبقاً من يحمل أي جزء من العبء، فلا تُفاجأ بالجواب يوم لا ينفع الجدل.
لماذا لا يقع اللوم على طرف واحد؟
الاختراق نادراً ما يكون نتيجة خطأ منفرد، بل سلسلة من الثغرات والإهمالات تتقاطع فيها أدوار عدّة أطراف. لذلك فإن تحميل جهة واحدة كامل المسؤولية تبسيط مخلّ غالباً. تتوزّع المسؤولية لأن:
- الأدوار متداخلة: المطوّر يبني، والمالك يشغّل، والمستضيف يوفّر البنية.
- الأمان مستمرّ: نظام آمن عند التسليم قد يُهمَل تحديثه لاحقاً.
- البشر حلقة أضعف: كلمة مرور مسرّبة قد تُسقِط أمتن نظام.
- الحدود غير معلنة: غياب عقد واضح يجعل كل طرف يظنّ الآخر مسؤولاً.
لذلك فالسؤال الأدقّ ليس «من المذنب؟» بل «أين وقع الخلل ومن كان مكلّفاً بتغطيته؟»، وهذا لا يُعرَف إلا بتحديد مسبق لمسؤوليات كل طرف.
ما حدود مسؤولية شركة التطوير؟
تقع على عاتق المطوّر مسؤولية بناء نظام آمن بحسب أفضل الممارسات المعروفة وقت التطوير، وتسليمه خالياً من الثغرات المعروفة القابلة للتفادي. تشمل مسؤوليته عادةً:
- كتابة كود آمن يتجنّب الثغرات الشائعة كالحقن وضعف المصادقة.
- تطبيق ضوابط الصلاحيات والتشفير في صميم التصميم لا كإضافة.
- إجراء فحص أمني قبل التسليم وإصلاح ما يُكتشَف منه.
- توثيق النظام وتنبيه العميل إلى ما يحتاجه من صيانة لاحقة.
لكن مسؤولية المطوّر لها حدّ زمني ونطاق؛ فهو لا يضمن أمان نظام أُهمِل تحديثه سنوات، ولا يتحمّل نتيجة عبثٍ لاحق في الكود من طرف آخر خارج عن سيطرته.
ما الذي يقع على عاتق مالك النظام؟
بعد التسليم، ينتقل جزء كبير من العبء إلى المالك الذي يشغّل النظام ويديره يومياً. كثير من الاختراقات سببها إهمال في هذه المرحلة لا خلل في البناء الأصلي. تشمل مسؤولية المالك:
- تطبيق تحديثات الأمان الدورية وعدم تأجيل التصحيحات الحرجة.
- إدارة حسابات المستخدمين وسحب الصلاحيات عند انتهاء الحاجة.
- فرض كلمات مرور قوية وتحقّق ثنائي على الحسابات الحسّاسة.
- تدريب الموظفين على عدم الوقوع في التصيّد وهندسة الخداع.
حتى أمتن نظام يصبح هشّاً إن أُدير بلا انضباط؛ فالأمان عقد مستمرّ بين جودة البناء ويقظة التشغيل، وإخلال أي طرف به يفتح ثغرة قد تُستغَلّ.
ما دور مزوّد الاستضافة والأطراف الأخرى؟
لا ينحصر المشهد في المطوّر والمالك؛ فهناك أطراف أخرى تحمل جزءاً من المسؤولية بحسب دورها. الجدول التالي يوضّح توزيعاً تقريبياً للأدوار:
| الطرف | نطاق مسؤوليته الأساسي |
|---|---|
| شركة التطوير | أمان الكود والتصميم عند التسليم |
| مالك النظام | التحديث والتشغيل وإدارة الحسابات |
| مزوّد الاستضافة | أمان الخوادم والشبكة والبنية التحتية |
| مزوّدو خدمات خارجية | أمان ما يقدّمونه من تكاملات وبوّابات |
هذا التوزيع يُعرَف بنموذج «المسؤولية المشتركة»، وفيه يحمي كل طرف الطبقة التي يديرها، ولا يُعقَل أن يُحاسَب طرف على طبقة لا يملك أصلاً صلاحية التحكّم فيها.
ما الذي يجب أن يوثّقه العقد؟
أفضل وقت لحسم المسؤولية هو قبل بدء العمل لا بعد الأزمة. العقد الجيّد يرسم الحدود بوضوح فيقطع الطريق على الجدل لاحقاً. احرص على أن يوثّق عقدك هذه البنود صراحةً:
- معايير الأمان التي يلتزم بها المطوّر عند التسليم.
- مدّة الضمان التي تُعالَج فيها الثغرات دون تكلفة إضافية.
- نطاق عقد الصيانة والتحديثات الأمنية بعد الإطلاق ومسؤول كلٍّ منها.
- آليّة الاستجابة للحوادث ومن يتحمّل تبعات كل نوع من الخلل.
حين تكون هذه الحدود مكتوبة، يتحوّل الاختراق من ساحة اتّهامات متبادلة إلى مسألة تُحسَم بالرجوع إلى بند واضح متّفق عليه سلفاً، وهذا وحده يحفظ العلاقة والحقوق معاً.
الجانب النظامي لحماية البيانات في السعودية
تجاوز الأمر بُعده التقني ليصبح التزاماً نظامياً؛ فحماية البيانات الشخصية في السعودية محكومة بإطار نظامي يرتّب واجبات على من يجمع البيانات ويعالجها. من المهمّ إدراك أن:
- على الجهة المسؤولة عن البيانات حمايتها باتّخاذ تدابير كافية.
- تسريب البيانات الشخصية قد يرتّب تبعات نظامية على المتحكّم فيها.
- الاستعانة بمطوّر لا تُسقِط مسؤولية المالك تجاه بيانات عملائه.
- توثيق التدابير الأمنية دليل التزام مفيد عند وقوع حادث.
لذلك ينبغي أن ينظر مالك النظام إلى الأمان لا كخيار تقني فحسب، بل كواجب نظامي يحمي عملاءه ويحميه هو من المساءلة، خصوصاً في سوق يتّجه بثبات نحو حوكمة البيانات ضمن رؤية 2030.
لماذا «وقت البيانات» شريك مسؤول؟
في وقت البيانات لتقنية المعلومات، وهي شركة سعودية مقرّها الرياض، نؤمن بأن وضوح المسؤولية جزء من الأمان نفسه. نبني أنظمة آمنة بحسب أفضل الممارسات، ونوثّق حدود المسؤولية والصيانة في عقودنا بشفافية، ونوفّر دعماً يبقيك على الجانب الآمن. اطّلع على خدمات الشبكات وأمن المعلومات، أو تصفّح خدماتنا، أو تواصل معنا لمناقشة عقد واضح المسؤوليات.
الأسئلة الشائعة
من يتحمّل مسؤولية اختراق النظام؟
غالباً لا يقع اللوم على طرف واحد، بل تتوزّع المسؤولية بين شركة التطوير والمالك ومزوّد الاستضافة بحسب موضع الخلل. المطوّر مسؤول عن أمان البناء، والمالك عن التشغيل والتحديث، والمستضيف عن البنية التحتية.
ما حدود مسؤولية شركة التطوير عن الاختراق؟
تلتزم الشركة ببناء نظام آمن بأفضل الممارسات وتسليمه خالياً من الثغرات المعروفة القابلة للتفادي. لكنها لا تضمن أمان نظام أُهمِل تحديثه سنوات، ولا تتحمّل نتيجة عبث لاحق في الكود من طرف آخر.
هل يُعفى مالك النظام من المسؤولية بعد التسليم؟
لا، فبعد التسليم ينتقل جزء كبير من العبء إليه: تطبيق التحديثات، وإدارة الحسابات والصلاحيات، وفرض كلمات مرور قوية، وتدريب الموظفين. كثير من الاختراقات سببها إهمال التشغيل لا خلل البناء.
كيف يحسم العقد مسؤولية الاختراق؟
بأن يوثّق صراحةً معايير الأمان عند التسليم، ومدّة الضمان، ونطاق الصيانة والتحديثات بعد الإطلاق، وآليّة الاستجابة للحوادث. حينها يُحسَم الخلاف بالرجوع إلى بند متّفق عليه بدل الاتّهامات المتبادلة.
هل الاستعانة بمطوّر تُسقِط مسؤوليتي عن بيانات عملائي؟
لا، فحماية البيانات الشخصية في السعودية تُرتّب واجبات على الجهة المتحكّمة في البيانات، والاستعانة بمطوّر لا تُسقِط مسؤوليتك تجاه عملائك. توثيق تدابيرك الأمنية دليل التزام مفيد عند وقوع أي حادث.