حماية البيانات
مفاهيم واستراتيجيات حماية البيانات
ماذا ستتعلّم؟
- تسمّي حالات البيانات الثلاث وتعرف أي أداة تحمي كلًّا منها.
- تصنّف البيانات وتربط كل تصنيف بمستوى الحماية الذي يستحقّه.
- تفرّق بين التشفير والترميز الرمزي والإخفاء — وهي أكثر ثلاثية تُخلط هنا.
- تشرح سيادة البيانات وأثرها على اختيار موقع التخزين.
حماية كل شيء بالدرجة نفسها تعني إمّا إنفاقًا بلا داعٍ أو حمايةً ناقصة لما يستحقّ. لذلك يبدأ هذا الهدف بالتصنيف: ما هي هذه البيانات ومن يملكها وماذا يحدث لو تسرّبت؟ ثم يأتي الضابط تبعًا للجواب.
حالات البيانات الثلاث
لكل حالة أداتها، والسؤال يصف الحالة التي فشلت.
في السكون (At rest)
على قرص أو في قاعدة بيانات أو نسخة احتياطية. أداتها: تشفير القرص أو الحقل.
أثناء النقل (In transit)
تعبر شبكة. أداتها: TLS أو نفق مشفَّر.
أثناء الاستعمال (In use)
في الذاكرة أثناء المعالجة. أصعب الثلاث حمايةً، لأن البرنامج يحتاجها مقروءة ليعمل.
التصنيفات
| Public | نشرها لا يضرّ. الموقع التعريفي، البيانات الصحفية. |
|---|---|
| Private / Internal | للاستعمال الداخلي. تسريبها محرج لا كارثي. |
| Sensitive | تسريبها يضرّ أشخاصًا أو المؤسسة: بيانات موظّفين، تفاصيل عقود. |
| Confidential | مقصورة على من يحتاج معرفتها. |
| Critical / Restricted | أعلى مستوى: تسريبها ضرر بالغ أو مخالفة تنظيمية. تتطلّب أشدّ الضوابط. |
أنواع البيانات
| Regulated | يحكمها نظام أو قانون. لا يقرّر مستوى حمايتها رأي المؤسسة. |
|---|---|
| PII | بيانات تُعرِّف شخصًا: الاسم مع الهوية أو العنوان أو الرقم الوطني. |
| Intellectual property / Trade secret | ما تكمن قيمته في كونه غير معروف: تصميم، صيغة، خوارزمية. |
| Financial / Legal | بيانات مالية أو وثائق قانونية، غالبًا خاضعة لمدد احتفاظ إلزامية. |
| Human- vs non-human-readable | نصّ يقرأه إنسان مقابل بيانات ثنائية أو مشفَّرة. التمييز يهمّ لأدوات منع التسريب. |
ترميز رمزي مقابل تشفير
| ترميز رمزي (Tokenization) | تشفير (Encryption) | |
|---|---|---|
| الآلية | استبدال القيمة برمز بلا علاقة رياضية بها، والأصل محفوظ في خزنة منفصلة | تحويل رياضي عكوس بمفتاح |
| ماذا لو سُرقت قاعدة البيانات | الرموز بلا قيمة — لا يوجد مفتاح يستخرج الأصل منها | المفتاح يفكّها، فأمنها أمن المفتاح |
| الاستعمال الشائع | أرقام البطاقات — لتقليل نطاق الامتثال | الحماية العامة في السكون والنقل |
تشفير، ترميز رمزي، إخفاء — ثلاثة أشياء
التشفير عكوس بمفتاح، ويستعيد القيمة كاملة. والترميز الرمزي يستبدل القيمة برمز بديل ويحفظ الأصل في مكان آخر. والإخفاء (Masking) يخفي جزءًا ويعرض الباقي بلا رجعة — مثل عرض آخر أربعة أرقام من البطاقة لموظّف الدعم. اسأل: هل يجب استرجاع الأصل؟ نعم بمفتاح = تشفير، نعم من خزنة = ترميز، لا أبدًا = إخفاء.
ويبقى بُعد لا علاقة له بالتقنية: سيادة البيانات (Data Sovereignty). البيانات تخضع لقوانين البلد الذي تُخزَّن فيه ماديًا، لا لقوانين بلد المؤسسة. فقد يمنع نظام محلّي خروج بيانات المواطنين، وقد تُلزم جهة تنظيمية بأن تبقى سجلّات صحّية داخل الحدود. ولهذا يصير موقع مركز البيانات قرارًا قانونيًا قبل أن يكون تقنيًا — والسؤال يصف قيدًا تنظيميًا ويطلب أثره على التصميم.
مثال واقعي: متجر ودفعة بطاقة
متجر إلكتروني يعالج بطاقات. رقم البطاقة أثناء انتقاله من المتصفّح محميّ بـTLS — هذه حالة النقل. وعند وصوله يُستبدَل فورًا برمز بديل، ويُحفظ الأصل عند مزوّد الدفع لا عند المتجر — وهذا ترميز رمزي، وغرضه أن تخرج قاعدة بيانات المتجر من نطاق الامتثال أصلًا. وفي شاشة خدمة العملاء يظهر «•••• 4417» فقط — وهذا إخفاء لا يحتاج استرجاعًا. والسجلّات المالية المخزَّنة تُشفَّر في السكون وتبقى في مركز بيانات داخل البلد لأن التنظيم يفرض ذلك. أربع أدوات مختلفة لأربع حاجات مختلفة في تدفّق واحد.
ما يهمّ في الاختبار
- حدّد الحالة أولًا: سكون = تشفير قرص أو حقل، نقل = TLS، استعمال = الأصعب وغالبًا الجواب «صعب الحماية».
- «لا نحتاج استرجاع القيمة» يشير إلى الإخفاء. و«نحتاجها لاحقًا لكن ليس هنا» يشير إلى الترميز الرمزي.
- البيانات المنظَّمة لا يقرّر مستوى حمايتها رأي المؤسسة. إن ذكر السؤال تنظيمًا فالقيد خارجي.
- سيادة البيانات سؤال عن الموقع الجغرافي لا عن التشفير. تشفير قوي في بلد خاطئ لا يحلّ المخالفة.
تحقّق سريع
أجب في ذهنك أولًا، ثم اكشف الإجابة.
أي حالة من حالات البيانات هي الأصعب حمايةً ولماذا؟اكشف الإجابة
أثناء الاستعمال: البيانات في ذاكرة المعالجة يجب أن تكون مقروءة ليعمل البرنامج عليها، فلا يمكن ببساطة تشفيرها كما في السكون أو النقل.
متى تختار الترميز الرمزي بدل التشفير؟اكشف الإجابة
حين لا تريد أن تحمل القيمة الحقيقية أصلًا. الرمز بلا قيمة إن سُرق لأنه لا يرتبط بالأصل رياضيًا، والأصل عند طرف آخر — فيخرج نظامك من نطاق الامتثال بدل أن يُؤمَّن داخله.
تنظيم يفرض بقاء بيانات المواطنين داخل البلد. هل يكفي تشفيرها بقوة وتخزينها في الخارج؟اكشف الإجابة
لا. السيادة قيد على الموقع الجغرافي لا على السرّية. البيانات المخزَّنة خارج الحدود تخضع لقوانين ذلك البلد مهما كانت مشفَّرة، والمخالفة قائمة.
ما الفرق بين الإخفاء والتشفير من حيث الاسترجاع؟اكشف الإجابة
التشفير عكوس: من يملك المفتاح يستعيد القيمة كاملة. والإخفاء غير عكوس بطبيعته — الجزء المخفيّ لم يُنقَل إلى الشاشة أصلًا، فلا شيء يُستعاد منها.
سجّل الدخول لتتبّع تقدّمك في هذا الموضوع.
خطوتك التالية
اقرأ الدرس ثم علّمه مكتملًا
المصادر
استُعملت للتحقّق من المعلومات. المحتوى أصلي بصياغة Passuit.