كيف تعرفون أن حماية بيانات الموكلين تؤخذ بجدية عند اختيار النظام؟ اطلبوا شرحًا لما يحدث لملف واحد: من يراه، وأين يعالج، ومن يستطيع نسخه أو حذفه، وكيف يستعيده المكتب إذا تعطل الوصول.
في سلطنة عُمان، تنشر وزارة النقل والاتصالات وتقنية المعلومات معلومات عن قانون حماية البيانات الشخصية ولائحته التنفيذية. تتناول اللائحة التزامات المتحكم والمعالج وحقوق أصحاب البيانات وأحكامًا تتعلق ببيانات محددة. يجب مراجعة النصوص السارية وتطبيقها على حالة المكتب مع مختص، ولا تكفي مواصفات البرنامج لإثبات امتثال كامل. (وزارة النقل والاتصالات وتقنية المعلومات، حماية البيانات الشخصية والنماذج الاسترشادية)
ابدأوا حماية بيانات الموكلين بحصر البيانات
اعرفوا ما الذي يجمعه المكتب ولماذا ومن أي مصدر. قد يحتوي ملف واحد على بيانات الموكل وأطراف آخرين ومراسلات ووثائق مالية. اختلاف طبيعة البيانات يؤثر في قرار الوصول والمشاركة والمعالجة.
قللوا ما تنقلونه إلى العرض التجريبي
استخدموا قضية افتراضية أو بيانات منزوعة الهوية عند تجربة النظام. حذف الاسم وحده قد لا يكفي إذا بقي رقم هوية أو عنوان أو وقائع تكشف الشخص. لا ترفعوا ملفًا حقيقيًا لمجرد أن التجربة متاحة.
اختبروا صلاحيات المستخدمين فعليًا
اطلبوا حسابين بأدوار مختلفة. جرّبوا الوصول المباشر إلى سجل لا ينبغي أن يراه أحدهما، وليس إخفاء زر من القائمة فقط. راجعوا صلاحيات العرض والتعديل والاعتماد وإلغاء الوصول.
اسألوا عن الحسابات المشتركة. استخدام عدة موظفين لحساب واحد يصعب تحديد صاحب التصرف، حتى لو كانت كلمة المرور قوية. اجعلوا كل مستخدم مسؤولًا عن حسابه وحددوا إجراء المغادرة وتغيير الدور.
افهموا مكان المعالجة والجهات المشاركة
اطلبوا تحديد بيئة الاستضافة، وأماكن النسخ الاحتياطية، والجهات التي قد تعالج البيانات لأغراض الدعم أو الذكاء الاصطناعي. استهداف المنتج للسوق العُماني لا يعني تلقائيًا أن كل المعالجة تجري داخل السلطنة.
راجعوا شروط أي نقل عبر الحدود ومتطلبات الحالة مع المختص، وفق النصوص السارية. لا تفترضوا أن التشفير وحده يجيب عن أسئلة الغرض والاحتفاظ والمشاركة. اطلبوا اتفاقًا واضحًا يصف مسؤوليات المكتب والمزود.
راجعوا سجلات النشاط والاستعادة
حددوا الأحداث المطلوبة: إنشاء سجل، تعديل بيانات، اعتماد مستند، أو تغيير صلاحية. اسألوا أيها يسجل فعلًا، ومن يستطيع رؤية السجل، ومدة الاحتفاظ به. لا تفترضوا تسجيل كل مشاهدة أو تنزيل دون توضيح.
اطلبوا سياسة للنسخ والاستعادة، وحدود فقد البيانات والتوقف المتفق عليها، وكيفية اختبار الاستعادة. كذلك راجعوا إجراء الإبلاغ عن حادث وتواصل الدعم، وطريقة استرجاع بيانات المكتب عند انتهاء العقد.
ماذا يؤكد الحسام وما الذي يحتاج اتفاقًا
يؤكد ملف الحسام وجود صلاحيات بحسب الدور وضوابط وصول وسجلات نشاط، واستخدام مفاتيح تشفير لحماية كل نسخة. أما تفاصيل الحماية فتتحدد وفق بيئة النشر المتفق عليها. هذه نقطة انطلاق للمراجعة، وليست شهادة امتثال أو وعدًا بعدم وقوع أي حادث.
اطلبوا إجابات مكتوبة عن الاستضافة والنسخ ومعالجي AI والاحتفاظ والتصدير. لا تعتمدوا شارة أمنية في واجهة تسويقية بديلًا عن هذه التفاصيل.
أسئلة شائعة
هل كل موظف يحتاج الاطلاع على كامل القضية
حدّدوا الحد اللازم لعمل كل دور، ثم اختبروا تطبيقه. قد يحتاج المسؤول المالي بيانات تختلف عما يحتاجه المحامي.
هل التشفير يعني الامتثال للقانون
التشفير إجراء تقني ضمن مجموعة التزامات وقرارات. تتطلب المطابقة مراجعة معالجة المكتب وعقده والنصوص السارية.
هل يلزم تشغيل AI مع النظام
الحسام يقدم باقات مع AI وأخرى بدونه، ما يتيح فصل قرار تشغيل النظام عن قرار استخدام هذه الأدوات.
جهزوا أسئلتكم قبل التعاقد
اجعلوا حماية بيانات الموكلين جزءًا من العرض العملي للحسام. اطلبوا اختبار صلاحيات محددًا، ووثيقة تصف المعالجة والاستعادة وإنهاء الاشتراك، ثم راجعوها مع المختص المسؤول عن بيانات المكتب.