ضابط أمن

ما نقوم به

في مؤسسة خارجية، يمكن لأحد متخصصي الخصوصية لدينا أن يتولى دور مسؤول الأمن. في هذا الدور، تُقدم الاستشارات القانونية المتعلقة بأمن المعلومات داخل المؤسسة، بالإضافة إلى صياغة سياسة أمنية. وبعد وضع هذه السياسة، نقدم الدعم اللازم لتنفيذها.

هل لديك أسئلة بخصوص مسؤول الأمن؟ يرجى الاتصال بنا.

مسؤول أمن في قسم الخصوصية وحماية البيانات

يتمتع مسؤول الأمن الذي نوفره بخبرة واسعة في أمن المعلومات وحماية البيانات والخصوصية. هذا التمييز هو ما يحدد أولوياتنا. فبينما يركز مسؤول أمن المعلومات التقليدي (الرئيس التنفيذي) بشكل أساسي على التكنولوجيا واستمرارية الأنظمة، يقوم مسؤول الأمن لدينا بترجمة هذه الإجراءات إلى المتطلبات القانونية التي يفرضها النظام العام لحماية البيانات (GDPR) على أمن البيانات الشخصية. وبالتالي، فإن الأمن ليس مسألة تقنية معلومات فحسب، بل هو التزام قانوني يترتب عليه تبعات قانونية في حال حدوث أي خلل.

تضمن فرقنا المتنوعة من المحامين والمستشارين القانونيين الداخليين أن تكون سياسة الأمن سليمة من الناحية التقنية ومتوافقة تمامًا مع القانون. وهذا يُناسب الشركات العالمية التي تمتلك أقسامًا خاصة بتقنية المعلومات، كما يُناسب الخباز الذي يرغب في حماية قاعدة عملائه وسجلات موظفيه.

التدابير التقنية والتنظيمية المناسبة (المادة 32 من اللائحة العامة لحماية البيانات)

يُشكّل البند 32 من اللائحة العامة لحماية البيانات (GDPR) الركيزة القانونية لدور مسؤول الأمن. يُلزم هذا البند كل جهة تحكم ومعالجة بيانات بتطبيق "تدابير تقنية وتنظيمية مناسبة" لضمان مستوى أمني يتناسب مع مستوى المخاطر. لا يُحدد القانون قائمة مرجعية ثابتة، ولكنه يُشير، من بين أمور أخرى، إلى إخفاء هوية البيانات الشخصية وتشفيرها، وضمان سرية الأنظمة وسلامتها وتوافرها، وإجراء اختبارات وتقييمات أمنية دورية.

يعتمد مفهوم "المناسب" على أحدث التقنيات، والتكاليف، وطبيعة المعالجة، والمخاطر التي قد يتعرض لها أصحاب البيانات. يقوم مسؤول الأمن لدينا بإجراء هذا التقييم استنادًا إلى مبررات قانونية، ويوثق الخيارات، ويضمن قدرتك على إثبات الإجراءات المتخذة. ففي نهاية المطاف، يُعدّ التزام المساءلة بموجب المادة 5(2) من اللائحة العامة لحماية البيانات (GDPR) صارمًا: لا يكفي أن تعمل بشكل آمن، بل يجب أن تكون قادرًا على إثبات ذلك.

مسؤول الأمن، مسؤول حماية البيانات، أو رئيس أمن المعلومات: من يقوم بماذا؟

في الواقع العملي، غالبًا ما يحدث خلط بين الأدوار. لكن التمييز بينهما ذو أهمية قانونية. مسؤول حماية البيانات (DPO) مراقبة الامتثال للائحة العامة لحماية البيانات (GDPR) بشكل مستقل، وهو مطلوب قانونًا في عدد من الحالات (المادة 37 من اللائحة العامة لحماية البيانات). أما مسؤول أمن المعلومات (CISO) فهو مسؤول عن تطبيق سياسة الأمان. ويقوم مسؤول الأمان الذي نعينه بسد هذه الفجوة، حيث يترجم متطلبات الخصوصية إلى سياسة أمان ملموسة وقابلة للتحقق، ويراقب تنفيذها.

من المهم أن يشغل مسؤول حماية البيانات منصبًا إشرافيًا مستقلًا، وبالتالي لا يجوز له تنفيذ سياسة الأمن التي يشرف عليها بنفسه. من خلال فصل هذين الدورين داخل مؤسستنا، تتجنبون تضارب المصالح وتحافظون على علاقة قانونية واضحة.

اختراقات البيانات، وتقييم أثر حماية البيانات، واتفاقيات معالجة البيانات

الأمن ليس موضوعًا منفصلاً. يتولى مسؤول الأمن لدينا مسؤولية الالتزامات المترابطة. في حال حدوث أي خلل، يُطبّق واجب الإبلاغ عن اختراق البيانات: يجب مبدئيًا إبلاغ هيئة حماية البيانات عن أي اختراق يتعلق بالبيانات الشخصية خلال 72 ساعة (المادة 33 من اللائحة العامة لحماية البيانات)، وفي حالات المخاطر العالية، يجب أيضًا إبلاغ أصحاب البيانات أنفسهم (المادة 34 من اللائحة العامة لحماية البيانات). نُصمّم الإبلاغ عن اختراق البيانات بحيث تلتزمون بهذا الموعد النهائي، ونوثّق الاعتبارات المناسبة بطريقة مُثبتة.

بالإضافة إلى ذلك، يُقيّم مسؤول الأمن ما إذا كان تقييم أثر حماية البيانات مطلوبًا ( للمادة 35 من اللائحة العامة لحماية البيانات) وما إذا كانت الاتفاقيات مع الموردين ومقدمي خدمات تكنولوجيا المعلومات تفي بمتطلبات اتفاقيات معالجة البيانات (المادة 28 من اللائحة العامة لحماية البيانات). وبهذه الطريقة، تتكامل تدابير الأمن والعقود وتحليلات المخاطر بدلًا من أن تتعارض.

نظام معلومات الأمن القومي 2 وقانون الأمن السيبراني

بالنسبة لعدد متزايد من المؤسسات، بات توجيه NIS2 الأوروبي محط اهتمام متزايد بالتزامن مع اللائحة العامة لحماية البيانات (GDPR)، التي يجري دمجها في القانون الهولندي من خلال قانون الأمن السيبراني. يفرض هذا القانون واجب العناية والتزامًا بالإبلاغ عن الحوادث على الكيانات "الأساسية" و"المهمة" في قطاعات تشمل الطاقة والنقل والرعاية الصحية والبنية التحتية الرقمية والحكومة. ويتحمل المديرون مسؤولية شخصية عن الموافقة على التدابير الأمنية والإشراف عليها.

بينما يضع نظام حماية البيانات العامة (GDPR) حماية البيانات الشخصية في صميم اهتمامه، ينظر نظام أمن الشبكات والمعلومات (NIS2) إلى استمرارية ومرونة أنظمة الشبكات والمعلومات من منظور أوسع. يجمع مسؤول الأمن لدينا بين النظامين، مما يضمن عدم تكرار العمل وعدم إغفال أي من الالتزامات. لا يقتصر دور نظام أمن الشبكات والمعلومات (NIS2) عادةً على المخبز الصغير، بل يتعداه إلى مجموعة دولية في قطاع حيوي، حيث يتضاعف دوره بشكل ملحوظ.

لماذا محامو الشركات الصغيرة والمتوسطة

في شركة MKB Juristen، ستتعاون مع فرق متنوعة من المحامين والمستشارين القانونيين الداخليين الذين يمتلكون فهمًا عميقًا للتكنولوجيا وخبرة واسعة في القانون. نتولى مهام مسؤول الأمن خارجيًا، إما عند الطلب أو لفترة محددة، ونتواصل مباشرةً مع مسؤول حماية البيانات ومتخصصي قانون الخصوصية عند الضرورة. لا نقدم استشارات منفصلة، ​​بل سياسة أمنية متينة، تتوافق بشكل واضح مع اللائحة العامة لحماية البيانات (GDPR)، وتناسب مؤسستك، سواء كانت شركة عالمية أو مخبزًا صغيرًا.

هل لديك أسئلة حول تعيين مسؤول أمن أو حول التزاماتك الأمنية بموجب اللائحة العامة لحماية البيانات (GDPR)؟ لا تتردد في الاتصال بنا.