استضافة البيانات والحوسبة السحابية في السعودية: دليل الأنظمة

هل يجوز أن تحفظ بيانات منشأتك على خوادم خارج السعودية؟ وأي نظام ينطبق عليك فعلًا؟ لا يوجد نظام واحد يجيب عن ذلك، بل أربع مجموعات من القواعد تحكم استضافة البيانات والحوسبة السحابية في السعودية: تنظيمات هيئة الاتصالات والفضاء والتقنية لمزودي السحابة، وضوابط الهيئة الوطنية للأمن السيبراني، ونظام حماية البيانات الشخصية، وقواعد هيئة الزكاة والضريبة والجمارك لحفظ السجلات.

الخلاصة لمعظم المنشآت الخاصة الصغيرة والمتوسطة: بيانات الجهات الحكومية لا تخرج من المملكة، والبيانات الشخصية لا تُنقل إلى الخارج إلا بشروط، والسجلات الضريبية للمكلف المقيم تُحفظ على خادم داخل المملكة. نشرح في هذا الدليل كل قاعدة بلغة صاحب المنشأة، ومن تلزمه، وأي مزودي السحابة الكبار لديهم مناطق داخل السعودية، وما أساسيات النسخ الاحتياطي التي تحتاجها.

هذا الدليل لا يغني عن الاستشارة النظامية في حالتك، لكنه يعطيك الأسئلة الصحيحة قبل أن توقّع أي عقد استضافة أو اشتراك سحابي.

من ينظّم استضافة البيانات والحوسبة السحابية في السعودية؟

أربع جهات، لكل منها زاوية مختلفة. والجدول التالي يلخص ما يعنيه ذلك لمنشأة خاصة:

ماذا تقول تنظيمات الحوسبة السحابية الصادرة عن هيئة الاتصالات والفضاء والتقنية؟

أصدرت الهيئة تنظيمات تقديم خدمات الحوسبة السحابية في إصدارها الرابع في أكتوبر 2023م، بعد أن بدأت إطارًا تنظيميًا في يناير 2018م. وتسري على خدمات السحابة المقدمة لمشتركين مقيمين في المملكة أو لهم عنوان فيها. أهم ما فيها لمنشأتك:

• تسجيل المزود: لا يحق لمزود أن يسيطر على مركز بيانات أو بنية سحابية مستضافة في المملكة لتقديم خدماته قبل تسجيله لدى الهيئة، والتسجيل على فئات تحدد نوع البيانات التي يجوز له التعامل معها.
• تصنيف البيانات: تفرّق التنظيمات بين بيانات الجهات الحكومية (سري للغاية، وسري، ومقيد، وعام) وبيانات غيرها، وعلى المشترك أن يختار التصنيف المناسب لبياناته.
• البيانات الحكومية لا تخرج: يُمنع نقل أي محتوى من بيانات الجهات الحكومية خارج المملكة بأي شكل، حتى للنسخ الاحتياطي المؤقت، إلا إذا أجاز ذلك نظام آخر صراحة. فإن كنت تخدم جهة حكومية، فهذا ينطبق على بياناتها لديك.
• إشعار وموافقة قبل النقل: على المزود المسجل أن يُشعر المشترك مسبقًا ويحصل على موافقته إذا كان محتواه سيُنقل أو يُخزَّن أو يُعالج خارج المملكة.
• الإبلاغ عن الاختراقات: على المزود إبلاغ الهيئة والمشتركين دون تأخير غير مبرر عن أي اختراق يعلم به.
• حد أدنى لمحتوى العقد: الخدمات، والرسوم، وشروط الإنهاء، وتفاصيل اتفاقية مستوى الخدمة، وطريقة إعادة بياناتك عند انتهاء العقد، وآلية الشكاوى.

الخطوة العملية: اطلب من أي مزود سحابي فئة تسجيله لدى الهيئة، ومكان مراكز بياناته، ونص البند الذي يحدد كيف تستعيد بياناتك عند الإنهاء.

هل تنطبق ضوابط الهيئة الوطنية للأمن السيبراني على منشأتك؟

تنطبق الضوابط الأساسية للأمن السيبراني (ECC-2:2024) على الجهات الحكومية والشركات والجهات التابعة لها، وعلى جهات القطاع الخاص التي تملك أو تشغّل أو تستضيف بنى تحتية وطنية حساسة. وتضم 4 مكونات رئيسية و28 مكونًا فرعيًا و108 ضوابط أساسية و92 ضابطًا فرعيًا. وتشجّع الهيئة بقوة كل الجهات الأخرى على الاستفادة منها.

أما ضوابط الأمن السيبراني للحوسبة السحابية (CCC-2:2024) فهي امتداد للضوابط الأساسية، وتحدد الحد الأدنى من متطلبات الأمن السيبراني لمزودي الخدمات السحابية وللجهات المستفيدة منها. ويدخل في نطاقها المستأجرون من الجهات الحكومية وجهات البنى التحتية الحساسة، والمزودون الذين يقدمون لهم الخدمة.

ماذا يعني ذلك لمنشأة صغيرة؟ إن لم تكن ضمن النطاق فهي ليست إلزامية عليك. لكن إذا كنت تبيع خدماتك لجهة حكومية، أو تريد ذلك مستقبلًا، فتوقع أن تُطلب منك. وحتى دون إلزام، يصلح مكوّن النسخ الاحتياطي في الضوابط الأساسية قائمة تحقق ممتازة: أن تغطي النسخ الأصول التقنية والمعلوماتية الحساسة، وأن تستطيع الاستعادة بسرعة بعد أي حادثة، وأن تختبر فعالية الاستعادة دوريًا.

ملاحظة: نُقلت ضوابط توطين استضافة البيانات من الإصدار الثاني للضوابط الأساسية إلى مكتب إدارة البيانات الوطنية في سدايا، لذلك لا تعتمد على نسخ قديمة من الوثيقة عند الحديث عن مكان الاستضافة.

متى يجوز نقل البيانات الشخصية إلى خارج المملكة؟

تجيز المادة التاسعة والعشرون من نظام حماية البيانات الشخصية النقل لأغراض محددة، منها تنفيذ التزام يكون صاحب البيانات طرفًا فيه، وأغراض أخرى تحددها اللوائح. وتضيف لائحة نقل البيانات الشخصية إلى خارج المملكة ثلاثة أغراض: العمليات التشغيلية الضرورية للمعالجة المركزية، وتقديم خدمة أو منفعة لصاحب البيانات، والبحوث والدراسات العلمية.

وفي كل الأحوال يجب أن تتحقق شروط النظام:

1. ألا يمس النقل الأمن الوطني أو مصالح المملكة الحيوية.
2. أن يتوافر مستوى مناسب لحماية البيانات في الدولة المستقبلة، وتنشر سدايا قائمة بالدول التي توفر هذا المستوى وتراجعها كل أربع سنوات أو عند الاقتضاء.
3. أن يقتصر النقل على الحد الأدنى من البيانات الذي تدعو إليه الحاجة.

وفي حالات إعفاء محددة من الشرطين الأخيرين، يجب أن يتم النقل بضمانات مناسبة: البنود التعاقدية القياسية، أو القواعد المشتركة الملزمة داخل المجموعات متعددة الجنسيات، أو شهادة اعتماد. وتلزم اللائحة جهة التحكم بإجراء تقويم للمخاطر قبل النقل في هذه الحالات، وكذلك عند نقل بيانات حساسة بصفة مستمرة أو على نطاق واسع.

مثال عملي: نظام إدارة عملاء أو منصة رسائل تسويقية مستضافة في الخارج، وتحفظ أسماء عملائك وأرقام جوالاتهم، تعني أنك تنقل بيانات شخصية إلى الخارج. ابدأ بحصر هذه الأدوات، ثم حدّد لكل منها السند والشرط والضمان، أو انقلها إلى استضافة داخل المملكة. وقد تناولنا جانبًا من ذلك في دليل أتمتة الأعمال بالذكاء الاصطناعي، لأن كثيرًا من أدوات الذكاء الاصطناعي تعالج البيانات خارج المملكة.

أي مزودي السحابة الكبار لديهم مناطق داخل السعودية؟

توسّع حضور المزودين العالميين داخل المملكة كثيرًا في السنوات الأخيرة. هذا وضعهم كما تعلنه صفحاتهم الرسمية حتى 29 أكتوبر 2026م:

انتبه إلى أمرين: وجود منطقة في المملكة لا يعني أن كل خدمة متاحة فيها، فتحقق من الخدمة التي تحتاجها تحديدًا. وتأكد أن بياناتك ونسخها الاحتياطية مضبوطة على المنطقة السعودية فعلًا، لا على منطقة افتراضية في الخارج.

ما أساسيات النسخ الاحتياطي ومعالجة البيانات التي تحتاجها منشأة صغيرة؟

لا تحتاج منشأة صغيرة إلى برنامج امتثال ضخم، لكنها تحتاج انضباطًا في سبع نقاط:

1. صنّف بياناتك: شخصية (عملاء وموظفون)، ومالية وضريبية، وتشغيلية، وأي بيانات تخص جهة حكومية تتعامل معها.
2. ارسم خريطة البيانات: أين يُحفظ كل نوع؟ في أي نظام، ولدى أي مزود، وفي أي دولة؟
3. اختر المكان حسب التصنيف: السجلات الضريبية للمكلف المقيم على خادم داخل المملكة، بحسب دليل الفواتير الضريبية والسجلات. والبيانات الشخصية في الخارج فقط بشروط النقل. والبيانات الحكومية داخل المملكة دائمًا.
4. انسخ احتياطيًا بانتظام: نسخ تلقائية مشفّرة، ونسخة في حساب أو موقع منفصل، ومدة احتفاظ تراعي حفظ السجلات الضريبية ست سنوات على الأقل.
5. اختبر الاستعادة: جرّب استعادة نظام كامل على فترات منتظمة، وسجّل كم استغرقت.
6. اضبط الوصول: حسابات فردية لكل موظف، وتحقق ثنائي، وسجل يبيّن من دخل ومتى، وإلغاء فوري لصلاحيات من يغادر.
7. جهّز خطة الحوادث: تلزم اللائحة التنفيذية لنظام حماية البيانات الشخصية جهة التحكم بإشعار الجهة المختصة خلال 72 ساعة من علمها بتسرب قد يضر أصحاب البيانات، فحدّد مسبقًا من يقرر ومن يُبلغ.

كيف تساعدك مانزوميا في بنية الاستضافة ومعالجة البيانات؟

نبني في مانزوميا أنظمة الأعمال وبنية الاستضافة ومعالجة البيانات التي تعمل عليها، ونصممها من البداية على خريطة بياناتك: أين تُحفظ، ومن يصل إليها، وكيف تُنسخ وتُستعاد. ويبدأ ذلك عادة ضمن مشروع نظام ERP أو منصة SaaS مخصصة، أو تطبيق ويب أو بوابة تحتاج استضافة تراعي الأنظمة السعودية.

وإن كانت فواتيرك جزءًا من الصورة، فراجع أيضًا دليل الفوترة الإلكترونية المرحلة الثانية، لأن أنظمة الفوترة لها متطلبات حفظ وأرشفة خاصة. وإن كنت تختار نظامًا لإدارة أعمالك، فقارن الخيارات في دليل نظام ERP للمنشآت الصغيرة والمتوسطة.

ما خطوتك التالية؟

اكتب قائمة بكل نظام أو تطبيق تستخدمه منشأتك اليوم، وبجانب كل منه: نوع البيانات التي يحفظها، واسم المزود، والدولة التي يستضيف فيها البيانات. ثم احجز استشارة نراجع فيها القائمة معك ونحدد ما يحتاج نقلًا أو ضمانات أو نسخًا احتياطيًا أفضل.