الإصدار الأول التاريخ ٢٠٢٠/٥/٥م
سياسة تصنيف البيانات
.1سياسة تصنيف البيانات
.1.1النطاق
تنطبق أحكام هذه السياسة على جميع البيانات التي تتلقاها أو تنتجها أو تتعامل معها الجهات العامة مهما كان مصدرها، أو شكلها أو طبيعتها، ويشمل ذلك السجلات الورقية، الاجتماعات، الاتصالات عبر وسائل التواصل والتطبيقات، رسائل البريد الإلكتروني، البيانات المخزنة على وسائط إلكترونية، أشرطة الصوت أو الفيديو، الخرائط، الصور الفوتوغرافية، المخطوطات، الوثائق المكتوبة بخط اليد، أو أي شكل آخر من أشكال
البيانات المسجلة.
.1.2المبادئ الرئيسية لتصنيف البيانات
المبدأ الأول: الأصل في البيانات الإتاحة الأصل في البيانات أن تكون متاحة (في المجال التنموي) مالم تقتضِ طبيعتها أو حساسيتها مستويات أعلى من التصنيف والحماية؛ وسرية للغاية (في المجال السياسي والأمني) مالم تقتضِ طبيعتها أو حساسيتها
مستويات أدنى من التصنيف والحماية.
المبدأ الثاني: الضرورة والتناسب
يتم تصنيف البيانات إلى مستويات وفقاً لطبيعتها، ومستوى حساسيتها، ودرجة أثرها مع الأخذ بعين الاعتبار الموازنة بين قيمتها ودرجة سريتها.
المبدأ الثالث: التصنيف في الوقت المناسب
يتم تصنيف البيانات عند إنشائها أو حين تلقيها من جهات أخرى ويكون التصنيف خلال فترة زمنية محددة.
المبدأ الرابع: المستوى الأعلى من الحماية
يتم اعتماد المستوى الأعلى من التصنيف عندما يتضمن محتوى مجموعة متكاملة من البيانات مستويات تصنيف مختلفة.
المبدأ الخامس: فصل المهام
يتم الفصل بين مهام ومسؤوليات العاملين - فيما يتعلق بتصنيف البيانات أو الوصول إليها أو الإفصاح عنها أو استخدامها أو التعديل عليها أو إتلافها - بطريقة تحول دون تداخل الاختصاص وتتلافى تشتيت
المسؤولية.
المبدأ السادس: الحاجة إلى المعرفة
يتم تقييد الوصول إلى البيانات واستخدامها على أساس الاحتياج الفعلي للمعرفة، ولأقل عدد ممكن من العاملين.
المبدأ السابع: الحد الأدنى من الامتيازات
يتم تقييد إدارة صلاحيات العاملين على الحد الأدنى من الامتيازات اللازمة لأداء المهام والمسؤوليات المناطة بهم.
.1.3مستويات تصنيف البيانات
الجدول 1أدناه يوضح المستويات الرئيسية لتصنيف البيانات بما يتوافق مع مستوى الأثر، كما يوضح بعض الأمثلة الاسترشادية لكل مستوى.
أمثلة استرشادية
خطط وتفصيلات العمليات العسكرية أوأي معلومات ذات علاقة بها
المعلومات السياسية الرسمية المتعلقةبالعلاقات الدولية والاتفاقيات أو المعاهدات وكل ما يتعلق بها من
مباحثات ودراسات وأعمال تحضيرية - المعلومات المتعلقة بأعمال وتدابير
وتشكيلات الأجهزة الأمنية والاستخباراتية وتجهيزاتها
المعلومات المتعلقة بآليات ومفاتيحالتشفير المستخدمة للبنى التحتية
الوطنية - معلومات القضايا الإرهابية والمخططات
المهددة للأمن المعلومات المتعلقة بالأسلحة والذخائرأو المواقع العسكرية الإستراتيجية أو أي
مصدر من مصادر القوة الدفاعية والهجومية
معلومات عن تحركات القوات المسلحة،أو القوات العسكرية الأخرى، أو تحركات
الشخصيات الهامة - معلومات تمس سيادة الدولة
الوصفتُصنف البيانات على أنها "بيانات سرية للغاية"، إذا كان الوصول غير المصرح به الى هذه البيانات أو الإفصاح عنها أو عن محتواها يؤدي الى ضرر جسيم واستثنائي
لا يمكن تداركه أو إصلاحه على:
المصالح الوطنية بما في ذلكالإخلال بالاتفاقيات والمعاهدات أو إلحاق الضرر بسمعة المملكة أو بالعلاقات الدبلوماسية والانتماءات السياسية أو الكفاءة التشغيلية للعمليات الأمنية أو العسكرية أو الاقتصاد الوطني أو البنية التحتية
الوطنية أو الأعمال الحكومية؛ - أداء الجهات العامة مماُ يلحق ضرًرا
بالمصلحة الوطنية. - صحة الأفراد وسلامتهم على نطاق
واسع وخصوصية كبار المسؤولين. - الموارد البيئية أو الطبيعية.
درجة الأثر عالي
معلومات عن مواقع تخزين المواداللوجستية أو المخازن الاقتصادية
معلومات متعلقة بالمنشآت الحيوية- مذكرات التفاهم مع الشركات الدولية
لإنشاء مصالح تجارية أو اقتصادية استراتيجية بالمملكة
تُصنف البيانات على أنها "بيانات سرية"، إذا كان الوصول غير المصرح به الى هذه البيانات أو الإفصاح عنها أو عن محتواها يؤدي الى ضرر
جسيم على:
متوسط
مستوى التصنيف
سري للغاية
سر ي
- المصالح الوطنية مثل إلحاق ضرر جزئي - معلومات متعلقة بالاتفاقيات الثنائية
ومذكرات التفاهم الدبلوماسية بين
بسمعة المملكة والعلاقات الدبلوماسية
المملكة والدول الأخرى
أو الكفاءة التشغيلية للعمليات الأمنية أو
العسكرية أو الاقتصاد الوطني أو البنية
التحتية الوطنية والأعمال الحكومية.
-يُحدث خسارة مالية على المستوى
التنظيمي تؤدي إلى إفلاس أو عجز
الجهات عن أداء مهامها أو خسارة جسيمة
للقدرة التنافسية أو كليهما مًعا.
- يتسبب في حدوث أذى جسيم أو إصابة
تؤثر على حياة مجموعة من الأفراد.
- تؤدي إلى ضرر على المدى الطويل
للموارد البيئية أو الطبيعية.
- التحقيق في القضايا الكبرى المحددة
نظاما، كقضايا تمويل الإرهاب.
تُصنف البيانات على أنها "مقّيدة"، إذا كان - معلومات تضر بسمعة أي شخصية عامة
الوصول غير المصرح به إلى هذه البيانات أو - بيانات مفصلة للمعاملات الفردية.
- نتائج الأبحاث والدراسات العملية قبل
الإفصاح عنها أو عن محتواها يؤدي إلى:
نشرها.
- تأثير سلبي محدود على عمل الجهات - المعلومات المتعلقة بالمنتجات تحت
التطوير والتي قد تضر بعدالة المنافسة
العامة أو الانشطة الاقتصادية في
- معلومات متعلقة بالتعيينات والقرارات
المملكة أو على عمل شخص معين.
الإدارية الحساسة
- ضرر محدود على أصول أي جهة وخسارة
محدودة على وضعها المالي والتنافسي. - معلومات الملف الصحي للأفراد
- ضرر محدود على المدى القريب للموارد - معلومات تحديد الهوية مثل الاسم
والعنوان وأرقام الهوية الوطنية وأرقام
البيئية أو الطبيعية.
الهواتف وأرقام الحسابات والتراخيص
وبيانات السمات الحيوية. - معلومات رواتب الموظفين.
منخفض
مقّيد
- وثائق مثل خطط المستوى التخطيطي
وبرامج التسويق قبل الكشف عنها
للجمهور وخطط الإبداع التقني.
- عقود موردين وعروض أسعارهم.
- طلبات تقديم عروض
- مواصفات منتج جديد قبل طرحه
للجمهور
- تفاصيل تصميم وتطبيق أنظمة أمنية
(جدار الحماية وضوابط الوصول
ومخططات الشبكة وغيرها)
- سياسيات وإجراءات الجهات الداخلية
- رسائل/ مذكرات داخلية
قوائم هواتف داخلية وقوائم البريدالإلكتروني لبعض الجهات
تُصنف البيانات على أنها "بيانات عامة" عندما - توجهات استراتيجية وطنية معلنة
لا يترتب على الوصول غير المصرح به إلى هذه - الإحصائيات الوطنية حول عدد السكان
والبيئة والأعمال حسب الصناعة وغيرها
البيانات أو الإفصاح عنها أو عن محتواها أي
من الآثار المذكورة أعلاه - في حال عدم وجود - التنمية العامة والدراسات الاقتصادية
- إجراءات الحكومة وسياستها
تأثير على ما يأتي:
- معلومات متعلقة بالخدمات العامة التي
تقدمها الحكومة للمواطنين
- المصلحة الوطنية
- جهات الاتصال في المؤسسات
- أنشطة الجهات
إعلانات وظائف- إعلانات عامة
مصالح الأفرادعام لا يوجد - الموارد البيئة
- تصريحات صحفية
- نتائج مالية معلنة للجمهور
- عروض منتجات (عامة)
- معلومات العلاقات العامة
- أي معلومات متاحة علًنا على مواقع أي
مؤسسة
- الإعلانات
الجدول :1مستويات تصنيف البيانات كما يمكن تصنيف البيانات المصّنفة على مستوى مقّيد إلى مستويات فرعية بناًء على نطاق الأثر على النحو
التالي:
مقيد - مستوى (أ): إذا كان نطاق الأثر على مستوى قطاع كامل أو نشاط اقتصادي عام.- مقيد - مستوى (ب): إذا كان نطاق الأثر على مستوى أنشطة عدة جهات أو على مصالح مجموعة من الأفراد.
- مقيد - مستوى (ج): إذا كان نطاق الأثر على مستوى أنشطة جهة واحدة أو مصالح فرد معين.
وفي الجدول أدناه توضيح وتحديد لمستوى التصنيف الصحيح الذي يمّكن الجهات من تقييم درجة الأثر المترتبة على الوصول غير المصرح به إلى البيانات أو الإفصاح عنها أو عن محتواها (ولمزيدٍ من المعلومات حول عملية تقييم الأثر، يمكن الاطلاع على "الخطوات
اللازمة لتصنيف البيانات"). يجب على كل جهة – على حده – أن تقوم بإجراء تقييم الآثار المترتبة على عملية الوصول أو الإفصاح غير المصرح به، كما تعتبر هذه
القائمة غير شمولية.
سمعة المملكة
هل ستخضع المعلومات لاهتمام وسائل الإعلام المحلية أو الدولية؟ هل ستعطي انطباع سلبي؟
مستوى الأثر
مقّيد منخفض
سر ي متوسط
لا يوجد تأثير على المصالح الحيوية الوطنية.
لا تتأثر السمعة.
تتأثر السمعة إلى حد ما.
تتأثر السمعة بشكل كبير.
المصلحة الوطنية هلُ تشّكل المعلومات خطراً على العلاقات مع الدول الصديقة؟ هل ستزيد من حدة التوتر
الدولي؟ هل يمكن أن تؤدي إلى احتجاجات أو عقوبات من دول أخرى؟
مستوى الأثر
مقّيد منخفض
سر ي متوسط
لا يوجد تأثير على المصالح الحيوية
لن يحدث تأثير على العلاقات الدبلوماسية أو يحدث تأثير بسيط
تتأثر العلاقات الدبلوماسية سلباً على المدى الطويل
الوطنية.
على المدى القصير
مستويات تصنيف البيانات:
فئة الأثر الرئيسية الإعتبارات
قطع العلاقات الدبلوماسية والانتماءات السياسية أو تهديد الاتفاقيات وشروط المعاهدات أو كليهما
الأمن الوطني/ النظام العام
هل المعلومات - في حال نشرها- تساعد على تنظيم أعمال إرهابية أو ارتكاب جرائم خطيرة؟ هلُ تشكل مصدر ذعر
للجميع؟
مستوى الأثر
مقّيد منخفض
سر ي متوسط
لا يوجد تأثير على المصالح الحيوية
الوطنية.
تأثير لاُ يذكر على الكفاءة التشغيلية للعمليات الأمنية على
مستوي إقليمي أو محلي، والحيلولة دون اكتشاف الجرائم البسيطة على المدى القصير.
تأثير طويل المدى على قدرة وكفاءةالجهات الأمنية بالتحقيق والترافع
في الجرائم المنظمة الخطيرة التي تسبب عدم الاستقرار الداخلي.
تتأثر الكفاءة التشغيلية لحفظ النظام العام والأمن الوطني أو العمليات الإستخباراتية للقوات العسكرية والأمنية
بشكل كبير.
الاقتصاد الوطني
هل يؤدي الكشف عن المعلومات إلى خسائر اقتصادية على المستوى الوطني؟
مستوى الأثر
مقّيد منخفض
سر ي متوسط
تأثير بسيط على الاقتصاد الوطني
تأثير طويل المدى على
مع انخفاضُ يمكن تداركه في وقت قصير في الناتج المحلي الإجمالي، ومعدل العمالة أو أسعار الأسواق
الاقتصاد الوطني مع انخفاضيُمكن تداركه في الناتج المحلي
الإجمالي ونسبة البطالة أوأسعار
المالية أو القوة الشرائية، مما ينعكس سلباً على قطاع واحد فقط.
الأسواق المالية أو القوة الشرائية، مما ينعكس سلباً على
قطاع واحد أو أكثر.
تأثير طويل المدى على الاقتصاد الوطني مع انخفاض لاُ يمكن تداركه في الناتج المحلي الإجمالي أو أسعار الأسواق المالية أو نسبة البطالة أو القوة الشرائية أو المؤشرات الأخرى ذات الصلة مما ينعكس سلباً على
جميع القطاعات في المملكة.
البنى التحتية الوطنية
هل الوصول إلى المعلومات يؤدي إلى تعطيل البنى التحتية الحيوية الوطنية (مثل الطاقة، النقل، الإتصالات) ؟ في حال التعرض لهجمات إلكترونية، هل ستظل الخدمات الأساسية بالمملكة متاحة؟
مستوى الأثر
مقّيد منخفض
سر ي متوسط
يحدث ضرر أو تأثير قصير المدى على أمن وعمليات البنى التحتية المحلية / الإقليمية.
التوقف والتعطل - لفترة قصيرة في أمن وعمليات البنى التحتية الوطنية الحيوية، كما يتأثر قطاع واحد أو أكثر.
التوقف والتعطل في أمن وعمليات
البنى التحتية الوطنية الحيوية، كما تتأثر العديد من القطاعات وتتعطل الحياة الطبيعية.
مهام الجهات الحكومية
هل سيؤدي الكشف عن المعلومات إلى الحد من إمكانية الجهات الحكومية من تنفيذ عملياتها ومهامها اليومية ؟
مستوى الأثر
مقّيد منخفض
سر ي متوسط
عدم قدرة جهة حكومية واحدة أو أكثر على أداء واحدة دم قدرة جهة حكومية أو أكثر من
أداء مهمة واحدة أو أكثر من المهام
أو أكثر من مهامها الرئيسية لفترة قصيرة.
غير الرئيسية لفترة قصيرة.
عدم قدرة جميع الجهات الحكومية من أداء مهامها وعملياتها
الرئيسية لفترة طويلة
أنشطة الجهات
أرباح الجهات الخاصة
هل سيؤدي الكشف عن المعلومات إلى خسائر مالية أو إفلاس الجهات الخاصة التي تقوم بإدارة مرافق العامة؟
على سبيل المثال، احتمالية الاحتيال، وتحويلات الأموال غير القانونية، والمصادرة غير القانونية للأصول.
مستوى الأثر
مقّيد منخفض
سر ي متوسط
تكبد الجهة خسائر مالية فادحة مما قد ضرر محدود يتمثل في خسارة مالية لا يوجد تأثير على أنشطة
الجهات.
محدودة للجهة أو لأيٍ من أصولها.
يؤدي إلى الإفلاس.
الإعتبارات
تأثير سلبي كبير على الجهات الخاصة إلى الحد الذي يتسبب في الإضرار بالمصالح
الحيوية الوطنية.
الأفراد
صحة/ سلامة الأفراد
هل سيؤدي الكشف عن المعلومات إلى إفشاء أسماء أو مواقع أشخاص وما إلى ذلك؟ (على سبيل المثال،
اسماء ومواقع العملاء السريين، والأشخاص الخاضعين لأنظمة حماية خاصة)
مستوى الأثر
مقّيد منخفض
سر ي متوسط
إصابة بسيطة دون أي خطر لا يوجد تأثير على الأفراد
ضرر جسيم أو إصابة تهدد حياة الفرد.
يهدد حياة أو صحة الفرد.
الإعتبارات
خسارة عامة أو فادحة في الأرواح فقدان حياة
فرد أو مجموعة من الأفراد.
أنشطة الجهات
مهام الجهات الخاصة
هل سيؤدي الكشف عن المعلومات إلى حدوث أضرار على الجهات الخاصة التي تقوم بإدارة المرافق العامة؟
هل سيؤدي ذلك إلى فقدان الدور الريادي التي تتمتع به الجهة أو خسارة أيٍ من أصولها؟ هل سيؤدي ذلك إلى إنهاء عقود عددٍ كبيرٍ من الموظفين؟ هل سيؤثر على القدرة التنافسية للجهة الخاصة؟
مستوى الأثر
مقّيد منخفض
سر ي متوسط
عدم إمكانية الجهة من القيام بمهامها عدم إمكانية الجهة من أداء إحدى مهامها لا يوجد تأثير على
أنشطة الجهات.
الرئيسة، وفقدان القدرة على التنافسية
الرئيسية، وفقدان القدرة على
بشكل محدود.
التنافسية إلى حد كبير.
الإعتبارات
تأثير سلبي كبير على الجهات الخاصة إلى الحد الذي يتسبب في الإضرار بالمصالح
الحيوية الوطنية.
عا م لايوجد أثر لا يوجد تأثير على الأفراد
الأفراد
الخصوصية
هل سيؤدي الكشف عن المعلومات إلى انتهاك خصوصية الأفراد؟
مستوى الأثر
مقّيد منخفض
سر ي متوسط
الكشف عن البيانات الشخصية الكشف عن البيانات الشخصية للفرد.
لشخصية مهمة.
الكشف عن البيانات الشخصية لشخصية مهمة.
الأفراد
سيؤدي ذلك إلى انتهاك أي حقوق ملكية فكرية؟
مستوى الأثر
مقّيد منخفض
سر ي متوسط
فئة الأثر الرئيسية الإعتبارات
مما يؤثر على المصلحة الوطنية.
البيئة
الموارد البيئية
هل سيتم استخدام هذه المعلومات لتطوير خدمة أو منتج يمكن أن يؤدي إلى تدمير الموارد البيئية أو الطبيعية
للمملكة؟
مستوى الأثر
مقّيد منخفض
سر ي متوسط
تأثير طويل المدى على البيئة أو الموارد تأثير قصير المدى أو محدودة على البيئة لا يوجد تأثير على البيئة.
أو الموارد الطبيعية.
الطبيعية.
تأثير كارثي لا يمكن تداركه على البيئة أو الموارد الطبيعية.
الجدول :2فئات ودرجات تقييم الأثر وفقاً لمستويات تصنيف البيانات
.1.4ضوابط تصنيف البيانات
بناًء على مستويات التصنيف، تقوم الجهات بتحديد وتطبيق الضوابط الأمنية المناسبة لحماية البيانات وذلك لضمان التعامل معها ومعالجتها ومشاركتها والتخلص منها بشكل آمن. وفي حال عدم تصنيف البيانات عند إنشائها أو تلقيها وفقًا لمعايير التصنيف،تُعامل هذه البيانات على أنها "مقّيدة" حتى يتم تصنيفها بشكل
صحيح.
كما يجب تصنيف البيانات التي لم يتم تصنيفها وقت إصدار هذه السياسة خلال فترة زمنية محددة بموجب
خطة عمل تعدها الجهة ويتم اعتمادها من المسؤول الأول بالجهة.
أدناه بعض الأمثلة على الضوابط التي يمكن استخدامها عند تصنيف البيانات، ويمكن الرجوع إلى مايصدر
من الهيئة الوطنية للأمن السيبراني من ضوابط وإرشادات تتعلق بحماية البيانات:
علامات الحماية §تُطبق علامات الحماية النصية على الوثائق الورقية والإلكترونية (بما في ذلك رسائل البريد الإلكتروني) وفقًا لكل مستوى
من مستويات التصنيف. الوصول
§يُمنح الوصول – المنطقي والمادي - إلى البيانات بناًء على مبدأ "الحد الأدنى من الامتيازات" و"الحاجة إلى المعرفة". § يجب منع حق الوصول إلى البيانات بمجرد انتهاء أو انهاء الخدمة المهنية للعاملين بالجهة. الاستخدام
§تُستخدم البيانات المصنفة وفقًالمتطلبات مستويات التصنيف، على سبيل المثال، يتم تقييد استخدام البيانات المصنفة "سرية للغاية" على مواقع محددة سواء مادية – كالمكاتب – أو افتراضية - باستخدام ترميز الأجهزة أو تطبيقات خاصة. التخزين
§ لاُ تترك البيانات المصنفة على أنها "سري للغاية" و"سري" و "مقّيد" وكذلك الأجهزة المحمولة التي تعالج أو تخزن هذه البيانات دون مراقبة.
§ يجب حماية البيانات المصنفة على أنها "سري للغاية" و"سري" و "مقّيد" الغير المراقبة أثناء تخزينها مادياً أو إلكترونًيا باستخدام أحد طرق التشفير المعتمدة من قبل الهيئة الوطنية للأمن السيبراني. مشاركة البيانات
§ تقوم الجهات بتحديد الوسائل المادية والرقمية المناسبة لتبادل البيانات بشكل آمن بما يضمن تقليل المخاطر المحتملة والامتثال لأنظمة مشاركة البيانات.
§ يجب الاتفاق على آلية تبادل البيانات، سواء كانت الجهات ستستخدم الوسائل المستخدمة حالًيا لتبادل البيانات أم لا، على سبيل المثال قناة التكامل الحكومية وشبكة مركز المعلومات الوطني والشبكة الحكومية الآمنة، أو إعداد اتصال مباشر
جديد أو وسائط التخزين القابلة للإزالة أو الشبكة اللاسلكية، أو الوصول عن بعد، أو الشبكة الخاصة الافتراضية...الخ. الاحتفاظ بالبيانات
§ يتم إعداد جدول زمني يحدد فترة الاحتفاظ بجميع البيانات. § يتم تحديد فترة الاحتفاظ بناًء على ما تحدده المتطلبات التجارية والتعاقدية والتنظيمية والقانونية ذات العلاقة. § يتم مراجعة الجدول الزمني لفترة الاحتفاظ بشكل دوري - سنوي أو إذا طرأت تغييرات على المتطلبات ذات العلاقة.
التخلص من البيانات § يتم التخلص من جميع البيانات بشكل آمن وفقًا للجدول الزمني للاحتفاظ بالبيانات بعد الحصول على موافقة ممثل بيانات
الأعمال. § يتم التخلص من البيانات التي تم تصنيفها على أنها "سرية للغاية" و"سري" التي يتم التحكم بها الكترونياً باستخدام أحدث
طرق التخلص من الوسائط الإلكترونية. § يتم التخلص من جميع الوثائق الورقية باستخدام آلة تمزيق الورق. § يتم إعداد سجل مفّصل عن جميع البيانات التي تم التخلص منها.
الأرشفة
§ يتم أرشفة البيانات في مواقع تخزين آمنة وفقاً للطريقة التي يوصي بها ممثل بيانات الأعمال. § يتم الاحتفاظ بنسخ احتياطية من البيانات المؤرشفة.
§ يتم حماية البيانات المؤرشفة التي تم تصنيفها على أنها "سري للغاية" و"سري" باستخدام أحد طرق التشفير المعتمدة من قبل الهيئة الوطنية للأمن السيبراني.
§ يتم إعداد وتوثيق قائمة مفصلة تتضمن المستخدمين المصرح لهم بالوصول إلى البيانات المؤرشفة.
إلغاء التصنيف (رفع السرية)
§ يجب إلغاء تصنيف البيانات أو خفض مستوى تصنيفها للحد المناسب بعد انتهاء مدة التصنيف عندما لا تكون الحماية مطلوبة أو أنها لم تعد مطلوبة على المستوى الأصلي للتصنيف.
§ في حال تم تصنيف البيانات بشكل خاطئ، يجب على مستخدم البيانات إشعار ممثل بيانات الأعمال لتحديد مدى الحاجة إلى إعادة تصنيفها بشكل مناسب.
§ يجب تحديد عوامل تساعد على إلغاء تصنيف البيانات عند تحديد مستويات التصنيف لأول مرة، كما يجب تسجيلها في سجل أصول البيانات، قد تتضمن هذه العوامل ما يلي:
.1فترة زمنية محددة بعد إنشاء البيانات أو تلقيها (على سبيل المثال، عامين بعد الإنشاء). .2فترة زمنية محددة بعد اتخاذ أخر إجراء على البيانات (على سبيل المثال، ستة أشهر من تاريخ آخر استخدام).
.3بعد انقضاء تاريخ محدد (على سبيل المثال، من المقرر مراجعتها في 1يناير .(2021 .4بعد ظروف أو أحداث معينة تؤثر تأثيًرا مباشًرا على البيانات (على سبيل المثال، إحداث تغيير في الأولويات
الاستراتيجية أو تغيير موظفي الجهات الحكومية). § يتطلب إلغاء التصنيف – رفع السرية - أو خفض مستويات التصنيف، بعيدًا عن العوامل المساعدة على إلغاء التصنيف
الواضحة تماًما، فهًما سليًما لمحتوى البيانات السرية والسياق الذي وردت فيه.
.1.5الخطوات اللازمة لتصنيف البيانات
الخطوة - 1تحديد جميع بيانات الجهة تتمثل الخطوة الأولى التي تتخذها الجهات في جرد وتحديد جميع البيانات التي تمتلكها الجهة.
الخطوة - 2تعيين مسؤول تصنيف البيانات على الجهة تفويض شخص يتولى مسؤولية عملية التصنيف بمجرد تحديد جميع البيانات، غالًبا ما يكون ممثل بيانات الأعمال – أحد منسوبي مكتب الجهة – هو الشخص الذي يفهم طبيعة البيانات وقيمتها داخل الجهة، وهو الشخص الذي يجب أن يتحمل المسؤولية حيال إجراء التصنيف الأولي، ونظًرا لوجود أكثر من مسؤول
بيانات داخل الجهة، فقد يوجد أكثر من شخص مسؤول عن تصنيف البيانات. الخطوة - 3إجراء عملية تقييم الأثر
يجب على ممثل بيانات الأعمال اتباع الخطوات اللازمة لعملية تقييم الأثر المحتمل الذي يترتب على:
§ الإفصاح عن هذه البيانات أو الوصول غير المصرح به لها § إجراء تعديل على هذه البيانات أو إتلافها أو كليهما
§ عدم الوصول إلى هذه البيانات في الوقت المناسب
تبدأ عملية تقييم الأثر بتطبيق مبدأ "الأصل في البيانات الإتاحة" (في المجال التنموي) مالم تقتضِ طبيعتها أو حساسيتها مستويات أعلى من التصنيف والحماية؛ وسرية للغاية (في المجال السياسي والأمني) مالم
تقتضِ طبيعتها أو حساسيتها مستويات أدنى من التصنيف. الخطوة
3- أ - تحديد فئة الأثر:
يتمثل العنصر الأول من عملية تقييم الأثر في تحديد الفئة الرئيسية والفرعية للأثرا لمحتمل في أيٍ من الفئات الرئيسية التالية:
§ المصلحة الوطنية § أنشطة الجهات
§ صحة أو سلامة الأفراد § الموارد البيئية
الخطوة
3- ب - تحديد مستوى الأثر:يُشير العنصر الثاني إلى أنه يتعين على ممثل بيانات الأعمال أن يحدد لكل أثر محتمل مستوى معين يعتمد
تحديد المستوى على الآتي:
§ مدة الأثر وصعوبة السيطرة على الضرر § فترة تدارك وإصلاح الأضرار بعد وقوعها § حجم الأثر (على مستوى وطني، مناطقي، عدة جهات، جهة واحدة، عدة أفراد ...الخ)
تحدد هذه المعايير مستويات الأثر الأربعة:
§ عالي– يؤدي الوصول إلى البيانات أو الإفصاح عنها إلى حدوث أضرارٍ جسيمة أو خطيرة للغاية على المدى الطويل لا يمكن تداركها أو إصلاحها.
§ متوسط–يؤدي الوصول إلى البيانات أو الإفصاح عنها إلى حدوث أضرار جسيمة أو خطيرة يصعب السيطرة عليها. § منخفض – يؤدي الوصول إلى البيانات أو الإفصاح عنها إلى أضرارٍ محدودة يمكن السيطرة عليها أو أضرار متقطعة على
المدى القصير يمكن السيطرة عليها. § لا يوجد أثر– لا يؤدي الوصول إلى البيانات أو الإفصاح عنها إلى أي ضرر على المدى الطويل أو القصير.
يجب أن تكون جميع الأضرار المحتملة والمحددة خلال عملية تقييم الأثر محددة وقائمة على أدلة، في محاولةٍ للحد من التقديرات الشخصية للمكلف بإجراء تصنيف البيانات.
يحدد ممثل بيانات الأعمال مستوى تصنيف البيانات بناًء على الآثار المحددة ومستوياتها:
§ عالي –تُصنف البيانات باعتبارها "سرية للغاية". § متوسط –تُصنف البيانات على أنها "سرية".
§ منخفض – يلزم إجراء مزيدٍ من التقييمات (يرجى الاطلاع على الخطوة 4و.(5 § لا يوجد أثر–تُصنف البيانات على أنها بياناتٍ "عامة".
ويوجد وصف مفصل للاعتبارات الرئيسية لكل فئة من فئات الأثر ومستواه في الجدول " 2فئات ومستويات تقييم أثر تصنيف البيانات".
يجب الاخذ بعين الاعتبار الخطوتين 4و 5عندما يكون مستوى الأثر المحدد منخفض. يتم الانتقال إلى الخطوة 6عندماُ تصنف البيانات باعتبارها "سرية للغاية" أو "سرية" أو "عامة".
الخطوة – 4تحديد الأنظمة ذات العلاقة (فقط إذا كان مستوى الأثر منخفض). يجب إجراء تقييمات إضافية إذا كان مستوى الأثر المحدد "منخفض" وذلك بهدف زيادة مستوى تصنيف
البيانات المصنفة على أنها بيانات "عامة" إلى الحد الأقصى. يجب على ممثل بيانات الأعمال في هذا الصدد، دراسة ما إذا كان الإفصاح عن هذه البيانات يتعارض مع أنظمة المملكة العربية السعودية مثل نظام مكافحة الجرائم المعلوماتية ونظام التجارة الالكترونية ... الخ، وإذا كان الإفصاح عن البيانات مخالًفا للأنظمة، فيجب حينها تصنيف البيانات على أنها بيانات "مقّيدة"،
بخلاف ذلك يتعين على ممثل بيانات الأعمال مواصلة تنفيذ الخطوة .5 الخطوة - 5الموازنة بين مزايا الإفصاح عن البيانات والآثار السلبية (فقط إذا كانت الإجابة على الخطوة
" 4لا"). بعد التأكد من مستوى الأثر المنخفض وضمان أن الإفصاح لن يكون انتهاًكا لأي نظام نافذ، يجب أيًضا تقييم المزايا المحتملة للإفصاح عن مثل هذا البيانات والتأكد مما إذا كانت هذه المزايا ستفوق الآثار السلبية أم لا، وتشمل المزايا المحتملة استخدام البيانات لتطوير خدمات جديدة ذات قيمة مضافة، أو زيادة شفافية
العمليات الحكومية أو زيادة مشاركة الافراد مع الحكومة.
§ إذا كانت المزايا أكبر من الآثار السلبية، تصنف البيانات على أنها "عامة". § إذا كانت المزايا أقل من الآثار السلبية، تصنف البيانات على أنها "مقّيدة"
الخطوة - 6مراجعة مستوى التصنيف يجب أن يفحص مراجع تصنيف البيانات – أحد منسوبي مكتب الجهة – جميع البيانات المصنفة لضمان أن يكون مستوى التصنيف المحدد من جانب ممثل بيانات الأعمال هو الأنسب، وتتم مراجعته خلال شهر
واحد من التصنيف الأولي. الخطوة - 7تطبيق الضوابط المناسبة تتمثل الخطوة الأخيرة من عملية تصنيف البيانات في حماية جميع البيانات وفقًالمستوى التصنيف من خلال تطبيق عناصر التحكم ذات الصلة (راجع "ضوابط تصنيف البيانات"). يتم الانتهاء من عملية التصنيف عند تصنيف جميع البيانات التي تملكها الجهة والتحقق من مستويات التصنيف وتطبيق الضوابط ذات الصلة. بعد تصنيف البيانات على نحوٍ صحيح، يمكن للجهات مشاركتها مع جهات أخرى، أو اتاحتها ونشرها كبيانات مفتوحة عند تصنيفها كبيانات "عامة".
الشكل 2أدناه يوضح الخطوات اللازمة لإجراء تصنيف البيانات. الشكل 2الخطوات اللازمة لتصنيف البيانات
.1.6الأدوار والمسؤوليات داخل الجهة
على جميع الجهات تكليف أشخاص يتولون مسؤولية أداء الالتزامات المسندة لكل دورٍ من الأدوار الوظيفية المرتبطة بعملية تصنيف البيانات وشروط حمايتها على النحو المنصوص عليه أدناه.
ممثل بيانات الأعمال - الشخص المسؤول عن البيانات التي تجمعها الجهة أو تحتفظ بها، وعادةً ما يكون في مستوى إداري عالٍ، ويكون ممثل بيانات الأعمال مسؤول عن:
• تصنيف البيانات - تصنيف البيانات التي تجمعها الجهة أو الجهات التابعة لها. • تجميع البيانات - التأكد من تصنيف البيانات المجمعة من مصادرٍ متعددة من خلال أعلى مستويات التصنيف
المستخدمة في تصنيف أي بيانات بشكل فردي.
• تنسيق تصنيف البيانات - التأكد من أن البيانات المتبادلة بين الإدارات أو الجهات مصنفة ومحمية بصورة متسقة. • الامتثال لتصنيف البيانات (بالتنسيق مع مختصي بيانات الأعمال) - التأكد من أن البيانات محمية وفقًا للضوابط
المحددة.
مراجع تصنيف البيانات - الشخص المسؤول عن مراجعة واعتماد مستويات تصنيف البيانات التي يحددها ممثل بيانات الأعمال، وعادة ما يكون في مستوى إداري عالٍ.
مختص بيانات الأعمال - عادةً ما يكون مختص بيانات الأعمال من أعضاء إدارات تقنية المعلومات أو أمن المعلومات أو كليهما، ويتحمل مسؤولية حماية البيانات من خلال تطبيق الضوابط المعتمدة المحددة في قسم "ضوابط تصنيف البيانات" بالإضافة إلى ذلك، الحفاظ على الأنظمة وقواعد البيانات والخوادم التي
تخزن البيانات ودعمها. تتألف مسؤوليات مختص بيانات الأعمال:
• التحكم في الوصول - التأكد من تطبيق ضوابط التحكم في الوصول ورصدها ومراجعتها وفقًا لمستويات تصنيف البيانات
التي يحددها ممثل بيانات الأعمال.
• تقارير المراجعة - إرسال تقرير سنوي إلى مسؤولي البيانات يتناول توافر البيانات المصنفة وسلامتها وسريتها. • النسخ الاحتياطي للبيانات - إجراء نسخ احتياطية منتظمة للبيانات. • التحقق من صحة البيانات - التحقق من صحة البيانات بشكل دوري. • استعادة البيانات - استعادة البيانات من وسائط النسخ الاحتياطي.
• نشاط المراقبة - مراقبة الأنشطة التي تتم على البيانات وتسجيلها، بما في ذلك البيانات المتعلقة بالشخص الذي يصل
إلى هذه البيانات.
• الامتثال لتصنيف البيانات (بالاشتراك مع مسؤولي البيانات) - التأكد من تصنيف بيانات الجهة وحمايتها بعد العملية
الموضحة في هذه السياسة ووفقًا للضوابط المحددة.
مستخدم البيانات - الموظف الذي يتعامل مع البيانات أو يصل إليها أو يستخدمها أو يحدّثها بغرض أداء مهمة يخولها له ممثل بيانات الأعمال، ويستغل المستخدمون البيانات بطريقة تتوافق مع الغرض المحدد
وكذلك الامتثال لهذه السياسة وجميع السياسات المتعلقة باستخدام البيانات في المملكة العربية السعودية، وُيكلف المسؤول الأول بالجهة من يراه من ذوي الاختصاص لأداء هذه الأدوار.