مخاطر SaaS في الجزائر: إطار تقييم الموردين الخارجيين للمؤسسات المحلية

لماذا أصبح مخاطر موردي SaaS مسألة امتثال في الجزائر

تبنّت المؤسسات الجزائرية منصات SaaS الأجنبية بسرعة خلال السنوات الأربع الماضية — أدوات محاسبة وأنظمة موارد بشرية ومنصات تعاون وتخزين سحابي وبرامج إدارة علاقات العملاء من مزودين عالميين. سرّع هذا التبنّي العمليات الرقمية، لكنه نقل أيضاً جزءاً كبيراً من وضع مخاطر كل منظمة إلى موردين يعملون خارج الولاية القضائية القانونية الجزائرية.

يُمثّل المرسوم الرئاسي رقم 26-07، المنشور في يناير 2026، المرة الأولى التي يتناول فيها الإطار التنظيمي الجزائري صراحةً عقود الاستعانة بمصادر خارجية وأمن العقود مع الأطراف الثالثة. يشترط المرسوم أن تُدرج المؤسسات التي تمتلك وحدات أمن سيبراني مخصصة بنود أمن في جميع عقود الاستعانة بمصادر خارجية وتنسّق مع السلطة الوطنية لحماية البيانات الشخصية (ANPDP) بشأن امتثال الموردين للقانون رقم 18-07 المتعلق بحماية البيانات الشخصية.

الأهم مما سيأتي: قانون شامل إلزامي للأمن السيبراني قيد الإعداد حالياً من قِبَل ASSI، وفقاً للاستراتيجية الوطنية للأمن السيبراني 2025-2029. سيُمدّد هذا القانون متطلبات الأمان الإلزامية — بما فيها الرقابة على الموردين — إلى المؤسسات الخاصة ومشغّلي البنية التحتية الحيوية.

يُبرّر بيئة التهديدات الإلحاحَ. وفقاً لتقرير Ecofin Agency حول وضع الأمن السيبراني الجزائري، سجّلت الجزائر أكثر من 13 مليون محاولة تصيد احتيالي وما يقارب 750,000 مرفق بريد إلكتروني خبيث تم اكتشافه وحجبه في 2024.

الفئات الثلاث للمخاطر التي يجب على كل مؤسسة جزائرية رسمها

قبل بناء إطار التقييم، تحتاج المنظمات إلى تصنيف موردي SaaS حسب نوع المخاطرة التي يُدخلونها. وفق أبحاث Panorays 2026 حول أمن سلاسل التوريد، تنطبق ثلاث فئات رئيسية للمخاطر:

مخاطر حضانة البيانات: الموردون الذين يخزنون أو يعالجون أو ينقلون البيانات الشخصية أو المعلومات التجارية الحساسة — منصات CRM وأنظمة الموارد البشرية ومزودو الرواتب وأنظمة إدارة الوثائق. هؤلاء الموردون خاضعون مباشرةً لمتطلبات الامتثال بالقانون رقم 18-07 ويجب تقييمهم بشأن مكان الإقامة الجغرافية للبيانات والتشفير والالتزامات المتعلقة بإخطار الاختراق.

مخاطر مسارات الوصول: الموردون الذين يمتلكون وصولاً مباشراً أو غير مباشر إلى شبكة المنظمة أو أنظمتها الداخلية — أدوات الدعم عن بُعد ومنصات إدارة نقاط النهاية ومزودو VPN. يمكن استغلال هؤلاء الموردين لتسليم برامج خبيثة أو أدوات سرقة بيانات الاعتماد مباشرةً في بيئة المنظمة.

مخاطر التبعية في العمليات: الموردون غير المتصلين بالأنظمة الداخلية لكن توقفهم سيُعطّل العمليات التجارية الحيوية — مزودو ERP ومنصات معالجة المدفوعات والاستضافة السحابية. يستلزم هؤلاء الموردون تقييم استمرارية الأعمال لا تقييم الأمن التقني.

إطار تقييم من أربعة محاور للمؤسسات الصغيرة والمتوسطة الجزائرية

الإطار التالي مُصمَّم للمنظمات التي يضم 10-500 موظف دون مركز عمليات أمن مخصص. يستند إلى أفضل الممارسات الدولية من تقرير ReversingLabs 2026 لأمن سلاسل التوريد البرمجية ويُكيّفها مع السياق التنظيمي الجزائري.

المحور 1: استبيان الأمن والإقرار الذاتي

ابدأ باستبيان أمن منظم يُرسَل إلى كل مورد SaaS قبل توقيع أو تجديد عقد. يجب أن يُغطّي الاستبيان: معايير تشفير البيانات (الحد الأدنى AES-256 للبيانات في حالة السكون)، وتكرار اختبارات الاختراق وتاريخ آخر اختبار، والتزامات وقت الاستجابة للحوادث (8 ساعات هو الحد الأدنى الدولي للقطاعات المنظَّمة)، وأهداف استمرارية الأعمال والتعافي من الكوارث (RTO/RPO)، وإجراءات حذف البيانات عند إنهاء العقد.

لا تقبل ضمانات شفهية — اشترط ردوداً مكتوبة. يُصدر كثير من كبار موردي SaaS (AWS وMicrosoft وSalesforce) وثائق أمن موحدة (تقارير SOC 2 من النوع الثاني وشهادات ISO 27001) تحلّ محل الاستبيان.

المحور 2: البنود الأمنية التعاقدية (الامتثال للمرسوم 26-07)

يُلزم المرسوم رقم 26-07 بإدراج بنود أمن في عقود الاستعانة بمصادر خارجية. على أدنى تقدير، يجب أن يتضمّن كل عقد SaaS مع وصول إلى البيانات التنظيمية: اتفاقية معالجة بيانات تُحدّد أن المورد يعالج البيانات بناءً على تعليمات المنظمة فحسب؛ وبند إخطار الاختراق يُلزم المورد بإخطار المنظمة خلال 72 ساعة من اكتشاف الاختراق؛ وبند حق التدقيق الذي يُعطي المنظمة حق مراجعة ضوابط أمن المورد سنوياً؛ وبند إعادة البيانات/الحذف الذي يُلزم المورد بإعادة جميع البيانات في صيغة قابلة للنقل وحذف جميع النسخ في غضون 30 يوماً من إنهاء العقد.

بالنسبة للموردين الذين يعالجون البيانات الشخصية للمقيمين الجزائريين، أضف بند إقامة البيانات الذي يُحدّد مواقع التخزين المقبولة وحظر نقل البيانات عبر الحدود دون تفويض من ANPDP.

المحور 3: المراقبة المستمرة — تجاوز الاستبيانات السنوية

تلتقط الاستبيانات السنوية وضع أمن المورد في نقطة زمنية واحدة. لا تتطلب المراقبة المستمرة أدوات أمن مكلفة. على أدنى تقدير، نفّذ: تنبيهاً Google مُراقَباً لاسم المورد مع “اختراق” أو “اختراق” أو “ثغرة” أو “تسريب بيانات”؛ واشتراكاً في قائمة التنبيهات الأمنية للمورد أو تغذية RSS؛ ومراجعة ربع سنوية للحوادث الأمنية المُفصَح عنها علناً عبر صفحة الحالة أو سجل الحوادث.

بالنسبة للموردين في فئتَي حضانة البيانات أو مسارات الوصول، فكّر في إضافة خدمة خفيفة لمراقبة سطح الهجوم. تُقدّم عدة أدوات مراقبةً مجانية للبنية التحتية المكشوفة علناً للمورد — المنافذ المفتوحة وشهادات TLS المنتهية الصلاحية والتخزين السحابي المُهيَّأ بشكل خاطئ.

المحور 4: تصنيف الموردين بالفئات وتخطيط الخروج

الفئة 1 (مخاطرة عالية): الموردون الذين يملكون وصولاً مباشراً للأنظمة الداخلية، أو الذين يعالجون بيانات شخصية لأكثر من 1,000 شخص، أو الذين ستُعطّل إخفاقاتهم العمليات لأكثر من 24 ساعة. اشترط تقييماً كاملاً سنوياً ومراجعة مراقبة ربع سنوية وخطة خروج موثَّقة.

الفئة 2 (مخاطرة متوسطة): الموردون الذين يعالجون البيانات التنظيمية دون وصول مباشر للأنظمة. تقييم كل سنتين ومراجعة مراقبة نصف سنوية.

الفئة 3 (مخاطرة منخفضة): الموردون الذين لا يصلون للبيانات التنظيمية أو الأنظمة الداخلية. إقرار ذاتي سنوي فحسب.

موقع هذا الإطار في مشهد الامتثال الجزائري 2026

يتناول برنامج مخاطر الموردين الموصوف أعلاه ثلاثة محركات امتثال متقاربة في البيئة التنظيمية الجزائرية 2026: متطلبات بنود أمن عقود الاستعانة بمصادر خارجية في المرسوم 26-07؛ والتزامات معالجة البيانات بموجب القانون رقم 18-07 لأي منظمة تتعامل مع البيانات الشخصية للمقيمين الجزائريين؛ وقانون الأمن السيبراني الإلزامي القادم الذي تعدّه ASSI.

تُلاحظ أبحاث Panorays أنه بموجب اللائحة الأوروبية للبيانات (GDPR) — التي تُستخدم نموذجاً لكثير من قوانين حماية البيانات الوطنية — تواجه المنظمات غرامات تصل إلى 20 مليون يورو أو 4% من حجم الأعمال السنوي العالمي عن خروقات البيانات التي تنطوي على إشراف غير كافٍ على الموردين. المسار التنفيذي لحماية البيانات في الجزائر يتجه نحو مزيد من المساءلة وعقوبات أكبر.

المؤسسات الجزائرية التي تتعامل مع تقييم مخاطر الموردين كمجرد تمرين لبلوغ الامتثال الشكلي ستجد نفسها في مأزق حين يُنشئ قانون الأمن السيبراني الإلزامي القادم التزامات قابلة للتنفيذ مع عقوبات ذات مغزى. المنظمات التي تبني قدرة حقيقية لإدارة مخاطر الموردين — استبيانات منظمة وبنود أمنية في العقود ومراقبة مستمرة وتصنيف حسب مستوى المخاطرة — ستمتلك برنامجاً قابلاً للدفاع عنه وستخفّض احتمالية التعرض لهجوم عبر مورد مخترق.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• الاستراتيجية الوطنية للأمن السيبراني 2025-2029 في الجزائر — AlgeriaNews
• الجزائر تُلزم بإنشاء وحدات أمن سيبراني في القطاع العام — Ecofin Agency
• الجزائر تُعزّز إطار الأمن السيبراني — TechAfrica News
• هجمات سلاسل التوريد في الأمن السيبراني — Panorays
• تقرير 2026 لأمن سلاسل التوريد البرمجية — ReversingLabs