المحتويات
لماذا تتزايد مخاطر الأغيار
الاستضافة السحابية، البرامج عبر الإنترنت، مراكز الاتصال، مقدمو خدمات الأداء، مزوّدو الذكاء الاصطناعي: جزء متزايد من الأنشطة الحيوية يعتمد على الأغيار. لكن المسؤولية لا تُسند إلى الغير. فإذا فقد مقدّم خدمة معطيات عملائك، فإن مقاولتك هي التي يحمّلها العملاء والسلطات المسؤولية.
المرحلة 1: الجرد
أحصِ جميع الأغيار، بما فيهم من تؤدي لهم ببطاقة بنكية أو تستعمل خدماتهم مجاناً: أدوات عبر الإنترنت، تطبيقات المراسلة، مقدمو الخدمات المعلوماتية، الوكلاء التجاريون، الوسطاء.
المرحلة 2: التصنيف حسب الأهمية
| المستوى | المعايير | أمثلة |
|---|---|---|
| حيوي | نشاط أساسي، معطيات حساسة، استبدال صعب | استضافة النظام المركزي، مقدّم خدمة الأداء |
| مهم | معطيات شخصية أو أثر ملحوظ على العملاء | نظام إدارة علاقات العملاء، مركز الاتصال، أداة الرسائل الإلكترونية |
| عادي | أثر ضعيف، استبدال سهل | اللوازم، الخدمات العامة |
المرحلة 3: التحري
تتوقف درجة التحري على الأهمية. بالنسبة لطرف حيوي، تحقق خاصة من:
- الوضعية المالية والسمعة؛
- الامتثال القانوني والسوابق؛
- مخاطر الرشوة، خاصة بالنسبة للوسطاء والوكلاء؛
- الأمن المعلوماتي (الشهادات، اختبارات الاختراق، تدبير الحوادث)؛
- مكان استضافة المعطيات وأي نقل محتمل نحو الخارج؛
- بالنسبة لمزوّد ذكاء اصطناعي، توثيق النظام وتوزيع المسؤوليات.
المرحلة 4: تأمين العقد
البنود الأساسية:
- المعطيات الشخصية: عقد مكتوب يُلزم المعالج من الباطن باحترام تعليماتك وتأمين المعطيات، كما تفرض ذلك المادتان 23 و24 من القانون 09.08.
- مكان الاستضافة والنقل: مكان الاستضافة، والامتثال للمادتين 43 و44 من القانون 09.08 في حالة النقل.
- حقوق التدقيق والولوج إلى المعلومات.
- الإسناد المتسلسل مشروط بموافقتك.
- مستويات الخدمة والجزاءات.
- التبليغ عن الحوادث داخل أجل قصير.
- القابلية للاسترجاع: إرجاع المعطيات والمساعدة عند نهاية العقد.
المرحلة 5: التتبع المستمر
راجع الأغيار الحيويين مرة في السنة على الأقل: الحوادث، مستويات الخدمة، تطور وضعيتهم، تغيير المعالجين من الباطن. فالمورّد الذي يُقيَّم مرة واحدة عند التوقيع ليس مورّداً متحكَّماً فيه.
المرحلة 6: تنظيم الخروج
خطّط منذ البداية لكيفية الخروج: إرجاع المعطيات، حذفها لدى مقدّم الخدمة، الانتقال إلى مورّد جديد، دون انقطاع للخدمة.
القواعد الخاصة بالمغرب
- القانون 09.08: عقد مكتوب مع كل معالج من الباطن وتأطير النقل نحو الخارج. اطلع على نقل المعطيات نحو الخارج.
- الأبناك: يفرض توجيه بنك المغرب المؤرخ في 19 ماي 2022 بشأن الإسناد نحو الحوسبة السحابية خاصة موافقة مسبقة للإسنادات المهمة وحقوقاً للتدقيق.
- الهيئات ذات الأهمية الحيوية: يفرض القانون رقم 05.20 والمرسوم رقم 2.24.921 اللجوء إلى مقدمي خدمات سحابية مؤهَّلين بالنسبة للأنظمة الحساسة.
- مزوّدو الذكاء الاصطناعي: تنص المواصفة ISO/IEC 42001 على توزيع واضح للمسؤوليات مع المورّدين والعملاء طوال دورة حياة النظام.
اقرأ أيضاً
- 4 دقائق للقراءة
- 3 دقائق للقراءة
- 3 دقائق للقراءة
- 7 دقائق للقراءة
أسئلة متكررة
ما هو تدبير مخاطر الأغيار؟
هو تحديد وتقييم وتتبع المخاطر التي يُحدثها مورّدو المؤسسة ومقدمو خدماتها والمعالجون من الباطن وشركاؤها، منذ اختيارهم إلى نهاية العلاقة.
ما البنود الضرورية مع معالج من الباطن يعالج معطيات شخصية؟
عقد مكتوب يُلزمه باحترام تعليماتك وتأمين المعطيات (المادتان 23 و24 من القانون 09.08)، ومكان الاستضافة وتأطير النقل، وحقوق التدقيق، والتبليغ عن الحوادث، والقابلية للاسترجاع.
كل كم يجب إعادة تقييم المورّد؟
مرة في السنة على الأقل بالنسبة للأغيار الحيويين، وعند كل حدث مهم: حادث، تغيير المالك، معالج من الباطن جديد، تغيير مكان الاستضافة.
معلومات عامة، وليست استشارة قانونية.
الإبلاغ عن خطأالمراجع (5)
- Loi n° 09-08 relative à la protection des données personnelles, notamment articles 23, 24, 43 et 44. (نافذة جديدة)
- Bank Al-Maghrib. Directive n° 4/W/2022 du 19 mai 2022 fixant les règles minimales en matière d'externalisation vers le cloud.
- Loi n° 05-20 relative à la cybersécurité et décret n° 2-24-921 relatif au recours aux prestataires de services cloud.
- ISO/IEC 42001:2023 — Artificial intelligence — Management system (annexe A.10 : relations avec les tiers). (نافذة جديدة)
- Loi n° 46-19 relative à l'Instance nationale de la probité, de la prévention et de la lutte contre la corruption (INPPLC).