سياسة تصنيف البيانات (ضمن سياسات حوكمة البيانات الوطنية)

تنطبق أحكام هذه السياسة على جميع البيانات التي تتلقاها أو تنتجها أو تتعامل معها الجهات العامة مهما كان مصدرها، أو شكلها أو طبيعتها، ويشمل ذلك السجلات الورقية، الاجتماعات، الاتصالات عبر وسائل التواصل والتطبيقات، رسائل البريد الإلكتروني، البيانات المخزنة على وسائط إلكترونية، أشرطة الصوت أو الفيديو، الخرائط، الصور الفوتوغرافية، المخطوطات، الوثائق المكتوبة بخط اليد، أو أي شكل آخر من أشكال البيانات المسجلة.

المبدأ الأول: الأصل في البيانات الإتاحة

الأصل في البيانات أن تكون متاحة (في المجال التنموي) مالم تقتضِ طبيعتها أو حساسيتها مستويات أعلى من التصنيف والحماية؛ وسرية للغاية (في المجال السياسي والأمني) مالم تقتضِ طبيعتها أو حساسيتها مستويات أدنى من التصنيف والحماية.

المبدأ الثاني: الضرورة والتناسب

يتم تصنيف البيانات إلى مستويات وفقاً لطبيعتها، ومستوى حساسيتها، ودرجة أثرها مع الأخذ بعين الاعتبار الموازنة بين قيمتها ودرجة سريتها.

المبدأ الثالث: التصنيف في الوقت المناسب

يتم تصنيف البيانات عند إنشائها أو حين تلقيها من جهات أخرى ويكون التصنيف خلال فترة زمنية محددة.

المبدأ الرابع: المستوى الأعلى من الحماية

يتم اعتماد المستوى الأعلى من التصنيف عندما يتضمن محتوى مجموعة متكاملة من البيانات مستويات تصنيف مختلفة.

المبدأ الخامس: فصل المهام

يتم الفصل بين مهام ومسؤوليات العاملين - فيما يتعلق بتصنيف البيانات أو الوصول إليها أو الإفصاح عنها أو استخدامها أو التعديل عليها أو إتلافها - بطريقة تحول دون تداخل الاختصاص وتتلافى تشتيت المسؤولية.

المبدأ السادس: الحاجة إلى المعرفة

يتم تقييد الوصول إلى البيانات واستخدامها على أساس الاحتياج الفعلي للمعرفة، ولأقل عدد ممكن من العاملين.

المبدأ السابع: الحد الأدنى من الامتيازات

يتم تقييد إدارة صلاحيات العاملين على الحد الأدنى من الامتيازات اللازمة لأداء المهام والمسؤوليات المناطة بهم.

الجدول 1 أدناه يوضح المستويات الرئيسية لتصنيف البيانات بما يتوافق مع مستوى الأثر، كما يوضح بعض الأمثلة الاسترشادية لكل مستوى.

[الجدول 1: مستويات تصنيف البيانات]

مستوى التصنيف: سري للغاية | درجة الأثر: عالي

الوصف: تُصنف البيانات على أنها "بيانات سرية للغاية"، إذا كان الوصول غير المصرح به الى هذه البيانات أو الإفصاح عنها أو عن محتواها يؤدي الى ضرر جسيم واستثنائي لا يمكن تداركه أو إصلاحه على:

- المصالح الوطنية بما في ذلك الإخلال بالاتفاقيات والمعاهدات أو إلحاق الضرر بسمعة المملكة أو بالعلاقات الدبلوماسية والانتماءات السياسية أو الكفاءة التشغيلية للعمليات الأمنية أو العسكرية أو الاقتصاد الوطني أو البنية التحتية الوطنية أو الأعمال الحكومية؛

- أداء الجهات العامة مما يُلحق ضررًا بالمصلحة الوطنية.

- صحة الأفراد وسلامتهم على نطاق واسع وخصوصية كبار المسؤولين.

- الموارد البيئية أو الطبيعية.

أمثلة استرشادية:

- خطط وتفصيلات العمليات العسكرية أو أي معلومات ذات علاقة بها

- المعلومات السياسية الرسمية المتعلقة بالعلاقات الدولية والاتفاقيات أو المعاهدات وكل ما يتعلق بها من مباحثات ودراسات وأعمال تحضيرية

- المعلومات المتعلقة بأعمال وتدابير وتشكيلات الأجهزة الأمنية والاستخباراتية وتجهيزاتها

- المعلومات المتعلقة بآليات ومفاتيح التشفير المستخدمة للبنى التحتية الوطنية

- معلومات القضايا الإرهابية والمخططات المهددة للأمن

- المعلومات المتعلقة بالأسلحة والذخائر أو المواقع العسكرية الإستراتيجية أو أي مصدر من مصادر القوة الدفاعية والهجومية

- معلومات عن تحركات القوات المسلحة، أو القوات العسكرية الأخرى، أو تحركات الشخصيات الهامة

- معلومات تمس سيادة الدولة

مستوى التصنيف: سري | درجة الأثر: متوسط

الوصف: تُصنف البيانات على أنها "بيانات سرية"، إذا كان الوصول غير المصرح به الى هذه البيانات أو الإفصاح عنها أو عن محتواها يؤدي الى ضرر جسيم على:

- المصالح الوطنية مثل إلحاق ضرر جزئي بسمعة المملكة والعلاقات الدبلوماسية أو الكفاءة التشغيلية للعمليات الأمنية أو العسكرية أو الاقتصاد الوطني أو البنية التحتية الوطنية والأعمال الحكومية.

- يُحدث خسارة مالية على المستوى التنظيمي تؤدي إلى إفلاس أو عجز الجهات عن أداء مهامها أو خسارة جسيمة للقدرة التنافسية أو كليهما معًا.

- يتسبب في حدوث أذى جسيم أو إصابة تؤثر على حياة مجموعة من الأفراد.

- تؤدي إلى ضرر على المدى الطويل للموارد البيئية أو الطبيعية.

- التحقيق في القضايا الكبرى المحددة نظاما، كقضايا تمويل الإرهاب.

أمثلة استرشادية:

- معلومات عن مواقع تخزين المواد اللوجستية أو المخازن الاقتصادية

- معلومات متعلقة بالمنشآت الحيوية

- مذكرات التفاهم مع الشركات الدولية لإنشاء مصالح تجارية أو اقتصادية استراتيجية بالمملكة

- معلومات متعلقة بالاتفاقيات الثنائية ومذكرات التفاهم الدبلوماسية بين المملكة والدول الأخرى

مستوى التصنيف: مقيّد | درجة الأثر: منخفض

الوصف: تُصنف البيانات على أنها "مقيّدة"، إذا كان الوصول غير المصرح به إلى هذه البيانات أو الإفصاح عنها أو عن محتواها يؤدي إلى:

- تأثير سلبي محدود على عمل الجهات العامة أو الانشطة الاقتصادية في المملكة أو على عمل شخص معين.

- ضرر محدود على أصول أي جهة وخسارة محدودة على وضعها المالي والتنافسي.

- ضرر محدود على المدى القريب للموارد البيئية أو الطبيعية.

أمثلة استرشادية:

- معلومات تضر بسمعة أي شخصية عامة

- بيانات مفصلة للمعاملات الفردية.

- نتائج الأبحاث والدراسات العملية قبل نشرها.

- المعلومات المتعلقة بالمنتجات تحت التطوير والتي قد تضر بعدالة المنافسة

- معلومات متعلقة بالتعيينات والقرارات الإدارية الحساسة

- معلومات الملف الصحي للأفراد

- معلومات تحديد الهوية مثل الاسم والعنوان وأرقام الهوية الوطنية وأرقام الهواتف وأرقام الحسابات والتراخيص وبيانات السمات الحيوية.

- معلومات رواتب الموظفين.

- وثائق مثل خطط المستوى التخطيطي وبرامج التسويق قبل الكشف عنها للجمهور وخطط الإبداع التقني.

- عقود موردين وعروض أسعارهم.

- طلبات تقديم عروض

- مواصفات منتج جديد قبل طرحه للجمهور

- تفاصيل تصميم وتطبيق أنظمة أمنية (جدار الحماية وضوابط الوصول ومخططات الشبكة وغيرها)

- سياسيات وإجراءات الجهات الداخلية

- رسائل/ مذكرات داخلية

- قوائم هواتف داخلية وقوائم البريد الإلكتروني لبعض الجهات

مستوى التصنيف: عام | درجة الأثر: لا يوجد

الوصف: تُصنف البيانات على أنها "بيانات عامة" عندما لا يترتب على الوصول غير المصرح به إلى هذه البيانات أو الإفصاح عنها أو عن محتواها أي من الآثار المذكورة أعلاه - في حال عدم وجود تأثير على ما يأتي:

- المصلحة الوطنية

- أنشطة الجهات

- مصالح الأفراد

- الموارد البيئية

أمثلة استرشادية:

- توجهات استراتيجية وطنية معلنة

- الإحصائيات الوطنية حول عدد السكان والبيئة والأعمال حسب الصناعة وغيرها

- التنمية العامة والدراسات الاقتصادية

- إجراءات الحكومة وسياستها

- معلومات متعلقة بالخدمات العامة التي تقدمها الحكومة للمواطنين

- جهات الاتصال في المؤسسات

- إعلانات وظائف

- إعلانات عامة

- تصريحات صحفية

- نتائج مالية معلنة للجمهور

- عروض منتجات (عامة)

- معلومات العلاقات العامة

- أي معلومات متاحة علنًا على مواقع أي مؤسسة

- الإعلانات

الجدول 1: مستويات تصنيف البيانات

كما يمكن تصنيف البيانات المصنّفة على مستوى مقيّد إلى مستويات فرعية بناءً على نطاق الأثر على النحو التالي:

- مقيد - مستوى (أ): إذا كان نطاق الأثر على مستوى قطاع كامل أو نشاط اقتصادي عام.

- مقيد - مستوى (ب): إذا كان نطاق الأثر على مستوى أنشطة عدة جهات أو على مصالح مجموعة من الأفراد.

- مقيد - مستوى (ج): إذا كان نطاق الأثر على مستوى أنشطة جهة واحدة أو مصالح فرد معين.

وفي الجدول أدناه توضيح وتحديد لمستوى التصنيف الصحيح الذي يمكّن الجهات من تقييم درجة الأثر المترتبة على الوصول غير المصرح به إلى البيانات أو الإفصاح عنها أو عن محتواها (ولمزيدٍ من المعلومات حول عملية تقييم الأثر، يمكن الاطلاع على "الخطوات اللازمة لتصنيف البيانات").

يجب على كل جهة – على حده – أن تقوم بإجراء تقييم الآثار المترتبة على عملية الوصول أو الإفصاح غير المصرح به، كما تعتبر هذه القائمة غير شمولية.

[جدول تقييم الأثر]

فئة الأثر الرئيسية: المصلحة الوطنية

فئة الأثر الفرعية: سمعة المملكة

الإعتبارات: هل ستخضع المعلومات لاهتمام وسائل الإعلام المحلية أو الدولية؟ هل ستعطي انطباع سلبي؟

مستوى الأثر:

- سري للغاية (عالي): تتأثر السمعة بشكل كبير.

- سري (متوسط): تتأثر السمعة إلى حد ما.

- مقيّد (منخفض): لا تتأثر السمعة.

- عام (لايوجد أثر): لا يوجد تأثير على المصالح الحيوية الوطنية.

مستويات تصنيف البيانات:

[جدول تقييم الأثر]

فئة الأثر الرئيسية: المصلحة الوطنية

الإعتبارات: هل تُشكّل المعلومات خطراً على العلاقات مع الدول الصديقة؟ هل ستزيد من حدة التوتر الدولي؟ هل يمكن أن تؤدي إلى احتجاجات أو عقوبات من دول أخرى؟

مستوى الأثر:

- سري للغاية (عالي): قطع العلاقات الدبلوماسية والانتماءات السياسية أو تهديد الاتفاقيات وشروط المعاهدات أو كليهما

- سري (متوسط): تتأثر العلاقات الدبلوماسية سلباً على المدى الطويل

- مقيّد (منخفض): لن يحدث تأثير على العلاقات الدبلوماسية أو يحدث تأثير بسيط على المدى القصير

- عام (لايوجد أثر): لا يوجد تأثير على المصالح الحيوية الوطنية.

[جدول تقييم الأثر]

فئة الأثر الرئيسية: المصلحة الوطنية

فئة الأثر الفرعية: الأمن الوطني/ النظام العام

الإعتبارات: هل المعلومات - في حال نشرها - تساعد على تنظيم أعمال إرهابية أو ارتكاب جرائم خطيرة؟ هل تُشكل مصدر ذعر للجميع؟

مستوى الأثر:

- سري للغاية (عالي): تتأثر الكفاءة التشغيلية لحفظ النظام العام والأمن الوطني أو العمليات الإستخباراتية للقوات العسكرية والأمنية بشكل كبير.

- سري (متوسط): تأثير طويل المدى على قدرة وكفاءة الجهات الأمنية بالتحقيق والترافع في الجرائم المنظمة الخطيرة التي تسبب عدم الاستقرار الداخلي.

- مقيّد (منخفض): تأثير لا يُذكر على الكفاءة التشغيلية للعمليات الأمنية على مستوي إقليمي أو محلي، والحيلولة دون اكتشاف الجرائم البسيطة على المدى القصير.

- عام (لايوجد أثر): لا يوجد تأثير على المصالح الحيوية الوطنية.

[جدول تقييم الأثر]

فئة الأثر الرئيسية: المصلحة الوطنية

فئة الأثر الفرعية: الاقتصاد الوطني

الإعتبارات: هل يؤدي الكشف عن المعلومات إلى خسائر اقتصادية على المستوى الوطني؟

مستوى الأثر:

- سري للغاية (عالي): تأثير طويل المدى على الاقتصاد الوطني مع انخفاض لا يُمكن تداركه في الناتج المحلي الإجمالي أو أسعار الأسواق المالية أو نسبة البطالة أو القوة الشرائية أو المؤشرات الأخرى ذات الصلة مما ينعكس سلباً على جميع القطاعات في المملكة.

- سري (متوسط): تأثير طويل المدى على الاقتصاد الوطني مع انخفاض يُمكن تداركه في الناتج المحلي الإجمالي ونسبة البطالة أوأسعار الأسواق المالية أو القوة الشرائية، مما ينعكس سلباً على قطاع واحد أو أكثر.

- مقيّد (منخفض): تأثير بسيط على الاقتصاد الوطني مع انخفاض يُمكن تداركه في وقت قصير في الناتج المحلي الإجمالي، ومعدل العمالة أو أسعار الأسواق المالية أو القوة الشرائية، مما ينعكس سلباً على قطاع واحد فقط.

- عام (لايوجد أثر):

[جدول تقييم الأثر]

فئة الأثر الرئيسية: المصلحة الوطنية

فئة الأثر الفرعية: البنى التحتية الوطنية

الإعتبارات: هل الوصول إلى المعلومات يؤدي إلى تعطيل البنى التحتية الحيوية الوطنية (مثل الطاقة، النقل، الإتصالات)؟ في حال التعرض لهجمات إلكترونية، هل ستظل الخدمات الأساسية بالمملكة متاحة؟

مستوى الأثر:

- سري للغاية (عالي): التوقف والتعطل في أمن وعمليات البنى التحتية الوطنية الحيوية، كما تتأثر العديد من القطاعات وتتعطل الحياة الطبيعية.

- سري (متوسط): التوقف والتعطل - لفترة قصيرة في أمن وعمليات البنى التحتية الوطنية الحيوية، كما يتأثر قطاع واحد أو أكثر.

- مقيّد (منخفض): يحدث ضرر أو تأثير قصير المدى على أمن وعمليات البنى التحتية المحلية / الإقليمية.

- عام (لايوجد أثر):

[جدول تقييم الأثر]

فئة الأثر الرئيسية: المصلحة الوطنية

فئة الأثر الفرعية: مهام الجهات الحكومية

الإعتبارات: هل سيؤدي الكشف عن المعلومات إلى الحد من إمكانية الجهات الحكومية من تنفيذ عملياتها ومهامها اليومية؟

مستوى الأثر:

- سري للغاية (عالي): عدم قدرة جميع الجهات الحكومية من أداء مهامها وعملياتها الرئيسية لفترة طويلة

- سري (متوسط): عدم قدرة جهة حكومية واحدة أو أكثر على أداء واحدة أو أكثر من مهامها الرئيسية لفترة قصيرة.

- مقيّد (منخفض): دم قدرة جهة حكومية أو أكثر من أداء مهمة واحدة أو أكثر من المهام غير الرئيسية لفترة قصيرة.

- عام (لايوجد أثر):

فئة الأثر الرئيسية: أنشطة الجهات

فئة الأثر الفرعية: أرباح الجهات الخاصة

الإعتبارات: هل سيؤدي الكشف عن المعلومات إلى خسائر مالية أو إفلاس الجهات الخاصة التي تقوم بإدارة مرافق العامة؟ على سبيل المثال، احتمالية الاحتيال، وتحويلات الأموال غير القانونية، والمصادرة غير القانونية للأصول.

مستوى الأثر:

سري للغاية (عالي): تأثير سلبي كبير على الجهات الخاصة إلى الحد الذي يتسبب في الإضرار بالمصالح الحيوية الوطنية.

سري (متوسط): تكبد الجهة خسائر مالية فادحة مما قد يؤدي إلى الإفلاس.

مقيّد (منخفض): ضرر محدود يتمثل في خسارة مالية محدودة للجهة أو لأي من أصولها.

عام (لايوجد أثر): لا يوجد تأثير على أنشطة الجهات.

فئة الأثر الرئيسية: الأفراد

فئة الأثر الفرعية: صحة/ سلامة الأفراد

الإعتبارات: هل سيؤدي الكشف عن المعلومات إلى إفشاء أسماء أو مواقع أشخاص وما إلى ذلك؟ (على سبيل المثال، اسماء ومواقع العملاء السريين، والأشخاص الخاضعين لأنظمة حماية خاصة)

مستوى الأثر:

سري للغاية (عالي): خسارة عامة أو فادحة في الأرواح فقدان حياة فرد أو مجموعة من الأفراد.

سري (متوسط): ضرر جسيم أو إصابة تهدد حياة الفرد.

مقيّد (منخفض): إصابة بسيطة دون أي خطر يهدد حياة أو صحة الفرد.

عام (لايوجد أثر): لا يوجد تأثير على الأفراد

فئة الأثر الرئيسية: أنشطة الجهات

فئة الأثر الفرعية: مهام الجهات الخاصة

الإعتبارات: هل سيؤدي الكشف عن المعلومات إلى حدوث أضرار على الجهات الخاصة التي تقوم بإدارة المرافق العامة؟ هل سيؤدي ذلك إلى فقدان الدور الريادي التي تتمتع به الجهة أو خسارة أيٍ من أصولها؟ هل سيؤدي ذلك إلى إنهاء عقود عددِ كبيرٍ من الموظفين؟ هل سيؤثر على القدرة التنافسية للجهة الخاصة؟

مستوى الأثر:

سري للغاية (عالي): تأثير سلبي كبير على الجهات الخاصة إلى الحد الذي يتسبب في الإضرار بالمصالح الحيوية الوطنية.

سري (متوسط): عدم إمكانية الجهة من القيام بمهامها الرئيسية، وفقدان القدرة على التنافسية إلى حد كبير.

مقيّد (منخفض): عدم إمكانية الجهة من أداء إحدى مهامها الرئيسة، وفقدان القدرة على التنافسية بشكل محدود.

عام (لايوجد أثر): لا يوجد تأثير على أنشطة الجهات.

فئة الأثر الرئيسية: الأفراد

فئة الأثر الفرعية: الخصوصية

الإعتبارات: هل سيؤدي الكشف عن المعلومات إلى انتهاك خصوصية الأفراد؟

مستوى الأثر:

سري للغاية (عالي): الكشف عن البيانات الشخصية لشخصية مهمة.

سري (متوسط): الكشف عن البيانات الشخصية لشخصية مهمة.

مقيّد (منخفض): الكشف عن البيانات الشخصية للفرد.

عام (لايوجد أثر): لا يوجد تأثير على الأفراد

فئة الأثر الرئيسية: الأفراد

الإعتبارات: سيؤدي ذلك إلى انتهاك أي حقوق ملكية فكرية؟

مستوى الأثر:

سري للغاية (عالي): مما يؤثر على المصلحة الوطنية.

فئة الأثر الرئيسية: البيئة

فئة الأثر الفرعية: الموارد البيئية

الإعتبارات: هل سيتم استخدام هذه المعلومات لتطوير خدمة أو منتج يمكن أن يؤدي إلى تدمير الموارد البيئية أو الطبيعية للمملكة؟

مستوى الأثر:

سري للغاية (عالي): تأثير كارثي لا يمكن تداركه على البيئة أو الموارد الطبيعية.

سري (متوسط): تأثير طويل المدى على البيئة أو الموارد الطبيعية.

مقيّد (منخفض): تأثير قصير المدى أو محدودة على البيئة أو الموارد الطبيعية.

عام (لايوجد أثر): لا يوجد تأثير على البيئة.

الجدول ٢: فئات ودرجات تقييم الأثر وفقاً لمستويات تصنيف البيانات

بناءً على مستويات التصنيف، تقوم الجهات بتحديد وتطبيق الضوابط الأمنية المناسبة لحماية البيانات وذلك لضمان التعامل معها ومعالجتها ومشاركتها والتخلص منها بشكل آمن. وفي حال عدم تصنيف البيانات عند إنشائها أو تلقيها وفقًا لمعايير التصنيف، تُعامل هذه البيانات على أنها "مقيّدة" حتى يتم تصنيفها بشكل صحيح.

كما يجب تصنيف البيانات التي لم يتم تصنيفها وقت إصدار هذه السياسة خلال فترة زمنية محددة بموجب خطة عمل تعدها الجهة ويتم اعتمادها من المسؤول الأول بالجهة.

أدناه بعض الأمثلة على الضوابط التي يمكن استخدامها عند تصنيف البيانات، ويمكن الرجوع إلى مايصدر من الهيئة الوطنية للأمن السيبراني من ضوابط وإرشادات تتعلق بحماية البيانات:

علامات الحماية

- تُطبق علامات الحماية النصية على الوثائق الورقية والإلكترونية (بما في ذلك رسائل البريد الإلكتروني) وفقًا لكل مستوى من مستويات التصنيف.

الوصول

- يُمنح الوصول – المنطقي والمادي - إلى البيانات بناءً على مبدأ "الحد الأدنى من الامتيازات" و"الحاجة إلى المعرفة".

- يجب منع حق الوصول إلى البيانات بمجرد انتهاء أو انهاء الخدمة المهنية للعاملين بالجهة.

الاستخدام

- تُستخدم البيانات المصنفة وفقًا لمتطلبات مستويات التصنيف، على سبيل المثال، يتم تقييد استخدام البيانات المصنفة "سرية للغاية" على مواقع محددة سواء مادية – كالمكاتب – أو افتراضية - باستخدام ترميز الأجهزة أو تطبيقات خاصة.

التخزين

- لا تُترك البيانات المصنفة على أنها "سري للغاية" و"سري" و "مقيّد" وكذلك الأجهزة المحمولة التي تعالج أو تخزن هذه البيانات دون مراقبة.

- يجب حماية البيانات المصنفة على أنها "سري للغاية" و"سري" و "مقيّد" الغير المراقبة أثناء تخزينها مادياً أو إلكترونيًا باستخدام أحد طرق التشفير المعتمدة من قبل الهيئة الوطنية للأمن السيبراني.

مشاركة البيانات

- تقوم الجهات بتحديد الوسائل المادية والرقمية المناسبة لتبادل البيانات بشكل آمن بما يضمن تقليل المخاطر المحتملة والامتثال لأنظمة مشاركة البيانات.

- يجب الاتفاق على آلية تبادل البيانات، سواء كانت الجهات ستستخدم الوسائل المستخدمة حاليًا لتبادل البيانات أم لا، على سبيل المثال قناة التكامل الحكومية وشبكة مركز المعلومات الوطني والشبكة الحكومية الآمنة، أو إعداد اتصال مباشر جديد أو وسائط التخزين القابلة للإزالة أو الشبكة اللاسلكية، أو الوصول عن بعد، أو الشبكة الخاصة الافتراضية...الخ.

الاحتفاظ بالبيانات

- يتم إعداد جدول زمني يحدد فترة الاحتفاظ بجميع البيانات.

- يتم تحديد فترة الاحتفاظ بناءً على ما تحدده المتطلبات التجارية والتعاقدية والتنظيمية والقانونية ذات العلاقة.

- يتم مراجعة الجدول الزمني لفترة الاحتفاظ بشكل دوري - سنوي أو إذا طرأت تغييرات على المتطلبات ذات العلاقة.

التخلص من البيانات

- يتم التخلص من جميع البيانات بشكل آمن وفقًا للجدول الزمني للاحتفاظ بالبيانات بعد الحصول على موافقة ممثل بيانات الأعمال.

- يتم التخلص من البيانات التي تم تصنيفها على أنها "سرية للغاية" و"سري" التي يتم التحكم بها الكترونياً باستخدام أحدث طرق التخلص من الوسائط الإلكترونية.

- يتم التخلص من جميع الوثائق الورقية باستخدام آلة تمزيق الورق.

- يتم إعداد سجل مفصّل عن جميع البيانات التي تم التخلص منها.

الأرشفة

- يتم أرشفة البيانات في مواقع تخزين آمنة وفقاً للطريقة التي يوصي بها ممثل بيانات الأعمال.

- يتم الاحتفاظ بنسخ احتياطية من البيانات المؤرشفة.

- يتم حماية البيانات المؤرشفة التي تم تصنيفها على أنها "سري للغاية" و"سري" باستخدام أحد طرق التشفير المعتمدة من قبل الهيئة الوطنية للأمن السيبراني.

- يتم إعداد وتوثيق قائمة مفصلة تتضمن المستخدمين المصرح لهم بالوصول إلى البيانات المؤرشفة.

إلغاء التصنيف (رفع السرية)

- يجب إلغاء تصنيف البيانات أو خفض مستوى تصنيفها للحد المناسب بعد انتهاء مدة التصنيف عندما لا تكون الحماية مطلوبة أو أنها لم تعد مطلوبة على المستوى الأصلي للتصنيف.

- في حال تم تصنيف البيانات بشكل خاطئ، يجب على مستخدم البيانات إشعار ممثل بيانات الأعمال لتحديد مدى الحاجة إلى إعادة تصنيفها بشكل مناسب.

- يجب تحديد عوامل تساعد على إلغاء تصنيف البيانات عند تحديد مستويات التصنيف لأول مرة، كما يجب تسجيلها في سجل أصول البيانات، قد تتضمن هذه العوامل ما يلي:

١- فترة زمنية محددة بعد إنشاء البيانات أو تلقيها (على سبيل المثال، عامين بعد الإنشاء).

٢- فترة زمنية محددة بعد اتخاذ أخر إجراء على البيانات (على سبيل المثال، ستة أشهر من تاريخ آخر استخدام).

٣- بعد انقضاء تاريخ محدد (على سبيل المثال، من المقرر مراجعتها في ١ يناير ٢٠٢١).

٤- بعد ظروف أو أحداث معينة تؤثر تأثيرًا مباشرًا على البيانات (على سبيل المثال، إحداث تغيير في الأولويات الاستراتيجية أو تغيير موظفي الجهات الحكومية).

- يتطلب إلغاء التصنيف – رفع السرية - أو خفض مستويات التصنيف، بعيدًا عن العوامل المساعدة على إلغاء التصنيف الواضحة تمامًا، فهمًا سليمًا لمحتوى البيانات السرية والسياق الذي وردت فيه.

الخطوة ١ - تحديد جميع بيانات الجهة

تتمثل الخطوة الأولى التي تتخذها الجهات في جرد وتحديد جميع البيانات التي تمتلكها الجهة.

الخطوة ٢ - تعيين مسؤول تصنيف البيانات

على الجهة تفويض شخص يتولى مسؤولية عملية التصنيف بمجرد تحديد جميع البيانات، غالبًا ما يكون ممثل بيانات الأعمال – أحد منسوبي مكتب الجهة – هو الشخص الذي يفهم طبيعة البيانات وقيمتها داخل الجهة، وهو الشخص الذي يجب أن يتحمل المسؤولية حيال إجراء التصنيف الأولي، ونظرًا لوجود أكثر من مسؤول بيانات داخل الجهة، فقد يوجد أكثر من شخص مسؤول عن تصنيف البيانات.

الخطوة ٣ - إجراء عملية تقييم الأثر

يجب على ممثل بيانات الأعمال اتباع الخطوات اللازمة لعملية تقييم الأثر المحتمل الذي يترتب على:

- الإفصاح عن هذه البيانات أو الوصول غير المصرح به لها

- إجراء تعديل على هذه البيانات أو إتلافها أو كليهما

- عدم الوصول إلى هذه البيانات في الوقت المناسب

تبدأ عملية تقييم الأثر بتطبيق مبدأ "الأصل في البيانات الإتاحة" (في المجال التنموي) مالم تقتضِ طبيعتها أو حساسيتها مستويات أعلى من التصنيف والحماية؛ وسرية للغاية (في المجال السياسي والأمني) مالم تقتضِ طبيعتها أو حساسيتها مستويات أدنى من التصنيف.

الخطوة ٣-أ - تحديد فئة الأثر:

يتمثل العنصر الأول من عملية تقييم الأثر في تحديد الفئة الرئيسية والفرعية للأثر المحتمل في أيٍ من الفئات الرئيسية التالية:

- المصلحة الوطنية

- أنشطة الجهات

- صحة أو سلامة الأفراد

- الموارد البيئية

الخطوة ٣-ب - تحديد مستوى الأثر:

يُشير العنصر الثاني إلى أنه يتعين على ممثل بيانات الأعمال أن يحدد لكل أثر محتمل مستوى معين يعتمد تحديد المستوى على الآتي:

- مدة الأثر وصعوبة السيطرة على الضرر

- فترة تدارك وإصلاح الأضرار بعد وقوعها

- حجم الأثر (على مستوى وطني، مناطقي، عدة جهات، جهة واحدة، عدة أفراد ...الخ)

تحدد هذه المعايير مستويات الأثر الأربعة:

- عالي– يؤدي الوصول إلى البيانات أو الإفصاح عنها إلى حدوث أضرارٍ جسيمة أو خطيرة للغاية على المدى الطويل لا يمكن تداركها أو إصلاحها.

- متوسط–يؤدي الوصول إلى البيانات أو الإفصاح عنها إلى حدوث أضرار جسيمة أو خطيرة يصعب السيطرة عليها.

- منخفض – يؤدي الوصول إلى البيانات أو الإفصاح عنها إلى أضرارٍ محدودة يمكن السيطرة عليها أو أضرار متقطعة على المدى القصير يمكن السيطرة عليها.

- لا يوجد أثر– لا يؤدي الوصول إلى البيانات أو الإفصاح عنها إلى أي ضرر على المدى الطويل أو القصير.

يجب أن تكون جميع الأضرار المحتملة والمحددة خلال عملية تقييم الأثر محددة وقائمة على أدلة، في محاولةِ للحد من التقديرات الشخصية للمكلف بإجراء تصنيف البيانات.

يحدد ممثل بيانات الأعمال مستوى تصنيف البيانات بناءً على الآثار المحددة ومستوياتها:

- عالي – تُصنف البيانات باعتبارها "سرية للغاية".

- متوسط – تُصنف البيانات على أنها "سرية".

- منخفض – يلزم إجراء مزيدِ من التقييمات (يرجى الاطلاع على الخطوة ٤ و٥).

- لا يوجد أثر– تُصنف البيانات على أنها بياناتٍ "عامة".

ويوجد وصف مفصل للاعتبارات الرئيسية لكل فئة من فئات الأثر ومستواه في الجدول ٢ "فئات ومستويات تقييم أثر تصنيف البيانات".

يجب الاخذ بعين الاعتبار الخطوتين ٤ و٥ عندما يكون مستوى الأثر المحدد منخفض.

يتم الانتقال إلى الخطوة ٦ عندما تُصنف البيانات باعتبارها "سرية للغاية" أو "سرية" أو "عامة".

الخطوة ٤ – تحديد الأنظمة ذات العلاقة (فقط إذا كان مستوى الأثر منخفض).

يجب إجراء تقييمات إضافية إذا كان مستوى الأثر المحدد "منخفض" وذلك بهدف زيادة مستوى تصنيف البيانات المصنفة على أنها بيانات "عامة" إلى الحد الأقصى.

يجب على ممثل بيانات الأعمال في هذا الصدد، دراسة ما إذا كان الإفصاح عن هذه البيانات يتعارض مع أنظمة المملكة العربية السعودية مثل نظام مكافحة الجرائم المعلوماتية ونظام التجارة الالكترونية ... الخ، وإذا كان الإفصاح عن البيانات مخالفًا للأنظمة، فيجب حينها تصنيف البيانات على أنها بيانات "مقيّدة"، بخلاف ذلك يتعين على ممثل بيانات الأعمال مواصلة تنفيذ الخطوة ٥.

الخطوة ٥ - الموازنة بين مزايا الإفصاح عن البيانات والآثار السلبية (فقط إذا كانت الإجابة على الخطوة ٤ "لا").

بعد التأكد من مستوى الأثر المنخفض وضمان أن الإفصاح لن يكون انتهاكًا لأي نظام نافذ، يجب أيضًا تقييم المزايا المحتملة للإفصاح عن مثل هذا البيانات والتأكد مما إذا كانت هذه المزايا ستفوق الآثار السلبية أم لا، وتشمل المزايا المحتملة استخدام البيانات لتطوير خدمات جديدة ذات قيمة مضافة، أو زيادة شفافية العمليات الحكومية أو زيادة مشاركة الافراد مع الحكومة.

- إذا كانت المزايا أكبر من الآثار السلبية، تصنف البيانات على أنها "عامة".

- إذا كانت المزايا أقل من الآثار السلبية، تصنف البيانات على أنها "مقيّدة"

الخطوة ٦ - مراجعة مستوى التصنيف

يجب أن يفحص مراجع تصنيف البيانات – أحد منسوبي مكتب الجهة – جميع البيانات المصنفة لضمان أن يكون مستوى التصنيف المحدد من جانب ممثل بيانات الأعمال هو الأنسب، وتتم مراجعته خلال شهر واحد من التصنيف الأولي.

الخطوة ٧ - تطبيق الضوابط المناسبة

تتمثل الخطوة الأخيرة من عملية تصنيف البيانات في حماية جميع البيانات وفقًا لمستوى التصنيف من خلال تطبيق عناصر التحكم ذات الصلة (راجع "ضوابط تصنيف البيانات").

يتم الانتهاء من عملية التصنيف عند تصنيف جميع البيانات التي تملكها الجهة والتحقق من مستويات التصنيف وتطبيق الضوابط ذات الصلة.

بعد تصنيف البيانات على نحوٍ صحيح، يمكن للجهات مشاركتها مع جهات أخرى، أو اتاحتها ونشرها كبيانات مفتوحة عند تصنيفها كبيانات "عامة".

الشكل ٢ أدناه يوضح الخطوات اللازمة لإجراء تصنيف البيانات.

بداية عملية تصنيف البيانات:

٠١ تحديد جميع بيانات الجهة

٠٢ تعين مسوؤل تصنيف البيانات (اعتبارالبيانات «عامة» في المجال التنموي و «سري للغاية» في المجال السياسي والأمني مبدأ الاصل في البيانات الإتاحة)

٠٣ إجراء عملية تقييم الأثر (٣-أ تحديد فئة الأثر (المصالح الحيوية، أنشطة الجهات، أفراد، البيئة)؛ ٣-ب تحديد مستوى الأثر): عالي: سري للغاية؛ متوسط: سري؛ منخفض؛ لايوجد: عام

٠٤ تحديد الأنظمة ذات العلاقة: مقيّد

٠٥ الموازنة بين المزايا والأثٰار: المزايا أكثر: عام؛ المزايا أقل: مقيّد

٠٦ مراجعة مستوى التصنيف

٠٧ تطبيق الضوابط المناسبة

الشكل ٢ الخطوات اللازمة لتصنيف البيانات

على جميع الجهات تكليف أشخاص يتولون مسؤولية أداء الالتزامات المسندة لكل دورٍ من الأدوار الوظيفية المرتبطة بعملية تصنيف البيانات وشروط حمايتها على النحو المنصوص عليه أدناه.

ممثل بيانات الأعمال - الشخص المسؤول عن البيانات التي تجمعها الجهة أو تحتفظ بها، وعادةً ما يكون في مستوى إداري عالٍ، ويكون ممثل بيانات الأعمال مسؤول عن:

- تصنيف البيانات - تصنيف البيانات التي تجمعها الجهة أو الجهات التابعة لها.

- تجميع البيانات - التأكد من تصنيف البيانات المجمعة من مصادرٍ متعددة من خلال أعلى مستويات التصنيف المستخدمة في تصنيف أي بيانات بشكل فردي.

- تنسيق تصنيف البيانات - التأكد من أن البيانات المتبادلة بين الإدارات أو الجهات مصنفة ومحمية بصورة متسقة.

- الامتثال لتصنيف البيانات (بالتنسيق مع مختصي بيانات الأعمال) - التأكد من أن البيانات محمية وفقًا للضوابط المحددة.

مراجع تصنيف البيانات - الشخص المسؤول عن مراجعة واعتماد مستويات تصنيف البيانات التي يحددها ممثل بيانات الأعمال، وعادة ما يكون في مستوى إداري عالٍ.

مختص بيانات الأعمال - عادةً ما يكون مختص بيانات الأعمال من أعضاء إدارات تقنية المعلومات أو أمن المعلومات أو كليهما، ويتحمل مسؤولية حماية البيانات من خلال تطبيق الضوابط المعتمدة المحددة في قسم "ضوابط تصنيف البيانات" بالإضافة إلى ذلك، الحفاظ على الأنظمة وقواعد البيانات والخوادم التي تخزن البيانات ودعمها. تتألف مسؤوليات مختص بيانات الأعمال:

- التحكم في الوصول - التأكد من تطبيق ضوابط التحكم في الوصول ورصدها ومراجعتها وفقًا لمستويات تصنيف البيانات التي يحددها ممثل بيانات الأعمال.

- تقارير المراجعة - إرسال تقرير سنوي إلى مسؤولي البيانات يتناول توافر البيانات المصنفة وسلامتها وسريتها.

- النسخ الاحتياطي للبيانات - إجراء نسخ احتياطية منتظمة للبيانات.

- التحقق من صحة البيانات - التحقق من صحة البيانات بشكل دوري.

- استعادة البيانات - استعادة البيانات من وسائط النسخ الاحتياطي.

- نشاط المراقبة - مراقبة الأنشطة التي تتم على البيانات وتسجيلها، بما في ذلك البيانات المتعلقة بالشخص الذي يصل إلى هذه البيانات.

- الامتثال لتصنيف البيانات (بالاشتراك مع مسؤولي البيانات) - التأكد من تصنيف بيانات الجهة وحمايتها بعد العملية الموضحة في هذه السياسة ووفقًا للضوابط المحددة.

مستخدم البيانات - الموظف الذي يتعامل مع البيانات أو يصل إليها أو يستخدمها أو يحدّثها بغرض أداء مهمة يخولها له ممثل بيانات الأعمال، ويستغل المستخدمون البيانات بطريقة تتوافق مع الغرض المحدد

وكذلك الامتثال لهذه السياسة وجميع السياسات المتعلقة باستخدام البيانات في المملكة العربية السعودية، ويُكلف المسؤول الأول بالجهة من يراه من ذوي الاختصاص لأداء هذه الأدوار.