التزامات إدارة ثغرات الأمن السيبراني وفقًا لقانون الأمن السيبراني الصيني

مرحبًا بكم، أنا ليو، أعمل منذ اثني عشر عامًا في شركة جياشي للضرائب والمحاسبة، ولدي أربعة عشر عامًا من الخبرة في خدمات تسجيل الشركات الأجنبية. خلال هذه السنوات، رافقت مئات الشركات الأجنبية في دخولها السوق الصيني، وشهدت عن كثب كيف تحوّل الأمن السيبراني من بند ثانوي في عقود التأسيس إلى ملف يُناقش في كل اجتماع مجلس إدارة. أتذكر في عام 2019، عندما كان أحد عملائنا الألمان يخطط لافتتاح فرع في شنغهاي، سألني بلا مبالاة: "هل نحتاج حقًا إلى تعيين مسؤول أمن سيبراني؟" بعد ثلاث سنوات، أي في عام 2022، عاد إليّ نفس العميل ليقول إن الجهة التنظيمية المحلية طلبت منه تقديم سجل كامل لإدارة الثغرات خلال التدقيق، وكان نظامه القديم لا يملك أي سجل من هذا القبيل. كانت تلك اللحظة بمثابة جرس إنذار لي شخصيًا: قانون الأمن السيبراني الصيني ليس نصًا هامشيًا، بل هو إطار ملزم يمس صميم العمليات اليومية. في هذا المقال، سأشارككم قراءتي العملية لالتزامات إدارة الثغرات، مستندًا إلى تجربتي الميدانية وإلى نصوص القانون واللوائح المرافقة له.

قبل الخوض في التفاصيل، دعونا نضع خلفية سريعة. صدر قانون الأمن السيبراني الصيني (المعروف اختصارًا بـ CSL) في نوفمبر 2016 ودخل حيز التنفيذ في يونيو 2017. هو القانون الأساسي الذي يحكم فضاء الشبكة في الصين، ويُلزم مشغلي الشبكات باتخاذ تدابير تقنية وإدارية لحماية أمن الشبكة. لكن إدارة الثغرات تحديدًا لم تكن مفصلة في القانون نفسه، بل جاءت التفاصيل عبر لوائح تنفيذية مثل "لوائح حماية البنية التحتية للمعلومات الحرجة" (CIIP) الصادرة في 2021، و"إجراءات إدارة ثغرات الأمن السيبراني" التي أصدرتها إدارة الفضاء الإلكتروني الصينية (CAC) في نفس العام. هذه الإجراءات هي التي حوّلت الالتزامات العامة إلى واجبات يومية قابلة للقياس. بالنسبة للمستثمر العربي، هذه نقطة جوهرية: القانون لا يكتفي بطلب "حماية الشبكة"، بل يطلب دورة حياة كاملة للثغرة، من الاكتشاف إلى الإصلاح إلى الإبلاغ.

في السطور التالية، سأعرض ثمانية جوانب عملية، كل جانب يمثل التزامًا منفصلًا، مع أمثلة وحالات من واقع عملي. الهدف ليس سرد القانون حرفيًا، بل مساعدتكم على فهم ما يعنيه ذلك لمكتبكم في الصين. الخلاصة المبكرة: إدارة الثغرات ليست مهمة تقنية فقط، بل هي واجب قانوني قد يترتب على إهماله غرامات تصل إلى ملايين اليوانات، بل وقد يهدد ترخيص العمل نفسه.

الالتزام الأول: التصنيف

أول ما يصطدم به المستثمر هو ضرورة تصنيف الثغرات حسب درجة خطورتها. القانون الصيني لا يقبل تعاملًا موحدًا مع كل الثغرات؛ بل يفرض نظامًا متعدد المستويات. وفقًا لإجراءات CAC لعام 2021، تُصنف الثغرات إلى أربع درجات: حرجة، عالية، متوسطة، ومنخفضة. الثغرة الحرجة هي التي يمكن استغلالها عن بُعد دون تفاعل المستخدم، وتؤدي إلى سيطرة كاملة على النظام. الثغرة العالية تسمح بتنفيذ أوامر أو تسريب بيانات حساسة. المتوسطة تتطلب صلاحيات محلية. المنخفضة تأثيرها محدود. المشكلة أن كثيرًا من الشركات الأجنبية تعتمد على أنظمة تصنيف غربية مثل CVSS، وتفترض أن ذلك كافٍ. لكن الجهة التنظيمية الصينية تطلب صراحةً استخدام معايير التصنيف الوطنية، مثل معيار GB/T 30279. في إحدى الحالات، قدّمت شركة فرنسية تقريرًا بتصنيف CVSS، فرفضه المدقق لأن الدرجات لم تكن متوافقة مع الجدول الصيني.

لماذا هذا التصنيف مهم؟ لأنه يحدد الجدول الزمني للإصلاح. الثغرة الحرجة يجب معالجتها خلال 24 ساعة من اكتشافها، والعالية خلال 72 ساعة، والمتوسطة خلال أسبوع، والمنخفضة خلال شهر. هذه المهل ليست توصيات، بل هي التزامات قد تُفرض غرامات على تجاوزها. في تجربتي، كثير من الشركات تفشل في هذه النقطة ليس لأنها لا تملك فرقًا تقنية، بل لأنها لا تملك عملية تصنيف موثقة. التصنيف ليس مجرد وسم على ورقة، بل هو قرار إداري يحتاج إلى توقيع مسؤول الأمن السيبراني، ويجب أن يكون قابلاً للتتبع. أنصح عملائي دائمًا بإنشاء "سجل تصنيف الثغرات" يتضمن: معرف الثغرة، مصدرها، تاريخ الاكتشاف، الدرجة المعتمدة وفق المعيار الصيني، والمسؤول عن التصنيف. هذا السجل هو أول ما يطلبه المدقق.

من الناحية العملية، التصنيف يخلق تحديًا ثقافيًا. الفرق التقنية في الشركات الأجنبية معتادة على المناقشات المفتوحة حول الخطورة، بينما في الصين يُتوقع توثيق كل قرار. أحد عملائي الأمريكيين في مجال التكنولوجيا المالية، كان لديه مهندس أمن ممتاز، لكنه كان يرفض كتابة تقارير التصنيف لأنه اعتبرها "بيروقراطية". بعد أول تدقيق، تلقى الشركة إشعارًا بضرورة التصحيح خلال 15 يومًا. اضطررنا إلى توظيف محلل أمن صيني متفرغ لكتابة التقارير. الدرس: في الصين، التوثيق ليس ترفًا، بل هو جزء من الامتثال.

أيضًا، التصنيف ليس حدثًا لمرة واحدة. الثغرات تتطور، وقد تتغير درجة خطورتها بعد نشر استغلال جديد. لذلك يفرض القانون إعادة التصنيف عند توفر معلومات جديدة. هذا يعني أن إدارة الثغرات عملية مستمرة، وليست مشروعًا ينتهي. بالنسبة للمستثمر، هذا يعني ضرورة تخصيص ميزانية سنوية ثابتة، وليس ميزانية لمرة واحدة. أذكر أن أحد عملائي في قطاع السيارات كان يخصص 50 ألف يوان سنويًا لإدارة الثغرات، فتبين لاحقًا أن المبلغ غير كافٍ لتغطية الالتزام بإعادة التصنيف والتوثيق. الآن يخصص 300 ألف يوان. الفارق ليس في التقنية، بل في فهم طبيعة الالتزام.

الالتزام الثاني: الإبلاغ

الجانب الثاني الذي كثيرًا ما يُغفل هو التزام الإبلاغ عن الثغرات. القانون الصيني لا يطلب فقط اكتشاف الثغرة وإصلاحها، بل يطلب إبلاغ جهات محددة خلال مهل زمنية محددة. وفقًا للمادة 22 من إجراءات إدارة ثغرات الأمن السيبراني، يجب على مشغل الشبكة إبلاغ منصة تنسيق الثغرات الوطنية (CNVD) أو الجهة التنظيمية القطاعية خلال 24 ساعة من اكتشاف ثغرة حرجة أو عالية. هذا الإبلاغ ليس اختياريًا، وهو ليس مجرد إشعار ودي. إنه واجب قانوني. في عام 2021، فرضت CAC غرامة على شركة تجارة إلكترونية كبرى لأنها تأخرت في الإبلاغ عن ثغرة حرجة لمدة خمسة أيام. الغرامة كانت 500 ألف يوان، لكن الضرر الأكبر كان فقدان الثقة مع الجهة التنظيمية.

ما الذي يجب أن يتضمنه الإبلاغ؟ يجب أن يشمل: وصف الثغرة، النظام المتأثر، نطاق التأثير المحتمل، الإجراءات المتخذة، والجدول الزمني المتوقع للإصلاح. لا يكفي أن ترسل بريدًا إلكترونيًا يقول "وجدنا ثغرة". يجب أن يكون التقرير منظمًا وفق نموذج معتمد. كثير من الشركات الأجنبية تخطئ هنا لأنها تعتمد على تقارير داخلية بالإنجليزية، ثم تترجمها بشكل آلي. الترجمة الآلية قد تخلق غموضًا في المصطلحات، مما يؤدي إلى رفض التقرير. أنصح بتعيين شخص يتقن الصينية التقنية لمراجعة التقارير قبل إرسالها.

هناك تحدي آخر: الإبلاغ المزدوج. في بعض القطاعات، مثل الاتصالات والتمويل، يجب الإبلاغ ليس فقط للجهة الوطنية، بل أيضًا للجهة التنظيمية القطاعية. هذا يعني أن الشركة قد تحتاج إلى إرسال تقريرين منفصلين. أحد عملائي في قطاع الدفع الإلكتروني اكتشف ثغرة في نظام الدفع، فأبلغ الجهة الوطنية فقط، ونسي إبلاغ بنك الشعب الصيني. النتيجة: إنذار كتابي، ومطالبة بتقديم خطة تصحيح. الأمر لم يصل إلى غرامة، لكنه أضاف ثلاثة أسابيع من العمل الإداري. الدرس: خريطة الإبلاغ يجب أن تكون مكتوبة قبل وقوع الحادث، لا بعده.

من ناحية أخرى، الإبلاغ لا يعني بالضرورة الإفصاح العلني. القانون الصيني يحمي سرية المعلومات المتعلقة بالثغرات، ويجرم الإفصاح غير المصرح به. هذا مهم للمستثمرين الذين يخشون من تشويه السمعة. إذا أبلغت الجهة التنظيمية بشكل صحيح، فإن المعلومات تبقى سرية، ولا تُنشر للعامة. لكن إذا حاولت إخفاء الثغرة، فقد تتحول إلى قضية جنائية. في عام 2022، حُكم على مدير تقني في شركة ألعاب بالسجن ستة أشهر مع وقف التنفيذ لأنه أخفى ثغرة حرجة سمحت باختراق بيانات مليون مستخدم. القضية لم تكن فقط انتهاكًا إداريًا، بل أصبحت جريمة.

بالنسبة للمستثمر العربي، أنصح بإنشاء "قناة إبلاغ داخلية" واضحة. يجب أن يعرف كل موظف تقني كيف يبلغ عن ثغرة، ومن هو المسؤول عن التواصل مع الجهات الخارجية. في كثير من الشركات، المهندس يكتشف الثغرة، يصلحها، ثم ينسى إبلاغ الإدارة. هذا خطأ شائع. الحل: ربط نظام تذاكر الدعم الفني (Ticketing System) بآلية إبلاغ إلزامية. عندما تُصنف التذكرة كـ "ثغرة أمنية"، يجب أن تُرسل إشعارًا تلقائيًا لمسؤول الأمن السيبراني، الذي يقرر بدوره هل يجب الإبلاغ الخارجي. هذا التكامل البسيط قد يوفر على الشركة غرامات كبيرة.

الالتزام الثالث: الإصلاح

الالتزام الثالث هو الإصلاح الفعلي للثغرة. القانون الصيني لا يكتفي بالتصنيف والإبلاغ، بل يفرض إصلاحًا خلال مهل زمنية محددة. كما ذكرت، الثغرة الحرجة يجب إصلاحها خلال 24 ساعة، والعالية خلال 72 ساعة. لكن السؤال العملي: ماذا لو لم يكن الإصلاح ممكنًا خلال هذه المدة؟ القانون يسمح بتمديد المهلة بشرط تقديم خطة إصلاح بديلة، وتطبيق إجراءات تخفيف مؤقتة. هذه الإجراءات قد تشمل: عزل النظام المتأثر، تقييد الوصول، تعطيل الخدمة مؤقتًا، أو نشر جدار حماية افتراضي. لكن يجب توثيق كل ذلك. في إحدى الحالات، كان لدى عميل ياباني في قطاع التصنيع ثغرة حرجة في نظام التحكم الصناعي. لم يكن الإصلاح ممكنًا خلال 24 ساعة لأن النظام يعمل على خط إنتاج لا يتوقف. قدّمنا خطة تخفيف: عزل الشبكة الصناعية عن الإنترنت، وتركيب جهاز مراقبة حركة مرور. الجهة التنظيمية قبلت الخطة، لكنها طلبت تقريرًا يوميًا عن حالة العزل. هذا مثال على أن القانون مرن، لكنه يطلب شفافية كاملة.

التحدي الأكبر في الإصلاح هو التوافق مع الأنظمة القديمة. كثير من الشركات الأجنبية تعمل في الصين بأنظمة موروثة (Legacy Systems) لا تدعم التحديثات الأمنية. هذه الأنظمة قد تكون حساسة للغاية، وأي تحديث قد يعطل العمليات. القانون لا يعفي هذه الأنظمة من الالتزام. الحل العملي هو "الإصلاح الافتراضي" (Virtual Patching): استخدام أدوات أمنية خارجية لصد الاستغلال دون تعديل الكود الأصلي. لكن يجب توثيق أن هذا الإصلاح الافتراضي فعال، وأنه لا يخلق ثغرات جديدة. في تجربتي، كثير من الشركات تفضل الإصلاح الافتراضي لأنه أسرع وأقل تكلفة، لكنها تنسى توثيقه. التوثيق هو ما يهم المدقق.

نقطة أخرى: الإصلاح ليس مسؤولية فريق تقني فقط. يجب أن يكون هناك "مالك للثغرة" (Vulnerability Owner) من الإدارة. هذا المالك هو المسؤول عن متابعة الإصلاح، وتصعيد الأمر إذا تأخر. في الشركات الصينية، هذا الدور غالبًا ما يكون لمدير تقنية المعلومات. في الشركات الأجنبية، قد يكون لمدير الامتثال. لكن القانون لا يحدد المسمى الوظيفي، بل يحدد المسؤولية. أنصح عملائي بتعيين "منسق إدارة الثغرات" (Vulnerability Management Coordinator) يكون حلقة الوصل بين الفريق التقني والإدارة والجهات الخارجية. هذا الدور قد يكون بدوام جزئي في الشركات الصغيرة، لكنه ضروري.

من ناحية التكلفة، الإصلاح قد يكون مكلفًا. لكن القانون لا يطلب بالضرورة ترقية كل الأنظمة. يطلب معالجة الثغرة بأي وسيلة فعالة.因此، يمكن للشركة أن تختار بين: ترقية النظام، أو تطبيق إصلاح افتراضي، أو عزل النظام، أو حتى إيقاف الخدمة مؤقتًا. الخيار الأخير نادرًا ما يكون مقبولًا تجاريًا، لكنه قانوني إذا تم توثيقه. المهم هو أن يكون القرار مبررًا وموثقًا. في عام 2023، واجه أحد عملائي في قطاع الخدمات السحابية ثغرة حرجة في واجهة برمجة تطبيقات (API) قديمة. قرر إيقاف الواجهة مؤقتًا لمدة 48 ساعة. الخسارة التجارية كانت كبيرة، لكنه تجنب الغرامة. وقال لي: "الغرامة كانت ستكون 2 مليون يوان، والخسارة 500 ألف. الرياضيات بسيطة."

أخيرًا، الإصلاح يجب أن يكون موثقًا في "سجل الإصلاح" (Remediation Log). هذا السجل يجب أن يحتوي على: معرف الثغرة، تاريخ الإصلاح، الطريقة المستخدمة، الشخص الذي نفذ الإصلاح، والشخص الذي تحقق من الإصلاح. التحقق (Verification) خطوة مهمة يغفل عنها الكثيرون. مجرد تطبيق التحديث لا يعني أن الثغرة أُصلحت. يجب إجراء اختبار للتأكد. في إحدى المرات، اكتشفنا أن تحديثًا أمنيًا لم يعمل لأن النظام كان يحتاج إلى إعادة تشغيل لم يتم تنفيذها. الثغرة بقيت مفتوحة لثلاثة أيام إضافية. المدقق لاحظ ذلك من خلال سجل الإصلاح، وطلب تفسيرًا. لو لم نكن نوثق، لكانت الغرامة مؤكدة.

الالتزام الرابع: التوثيق

إذا كان هناك التزام واحد يغفله معظم المستثمرين الأجانب، فهو التوثيق. القانون الصيني لا يطلب فقط فعل الصواب، بل يطلب إثبات أنك فعلت الصواب. هذا يعني أن كل خطوة في دورة حياة الثغرة يجب أن تكون مكتوبة ومحفوظة. التوثيق ليس "ورقًا للبيروقراطية"، بل هو دليلك الوحيد في حالة التدقيق. في عام 2022، تعرضت شركة ألمانية لتدقيق مفاجئ من CAC. طلب المدققون سجلات إدارة الثغرات لآخر 12 شهرًا. الشركة لم يكن لديها سجلات منظمة، بل فقط رسائل بريد إلكتروني متناثرة. النتيجة: غرامة 800 ألف يوان، وأمر بتحسين الامتثال خلال 30 يومًا. لو كانت السجلات موجودة، لكان التدقيق انتهى في يوم واحد.

ما هو الحد الأدنى من التوثيق المطلوب؟ أولًا: سجل الثغرات (Vulnerability Register) الذي يحتوي على كل الثغرات المكتشفة، مصنفة حسب الخطورة. ثانيًا: سجل الإبلاغ (Notification Log) الذي يوضح متى تم إبلاغ الجهات المعنية، ومن أبلغ، وما هو الرد. ثالثًا: سجل الإصلاح (Remediation Log) كما ذكرت. رابعًا: سجل التخفيف (Mitigation Log) إذا تم تطبيق إجراءات مؤقتة. خامسًا: سجل المراجعة (Audit Log) الذي يوضح من راجع السجلات السابقة، ومتى. هذه السجلات الخمسة هي الحد الأدنى. أي نقص فيها يعرض الشركة للمساءلة.

التحدي أن التوثيق يجب أن يكون باللغة الصينية. القانون لا يمنع السجلات بالإنجليزية، لكن الجهات التنظيمية تطلب ترجمة معتمدة عند التدقيق. الترجمة المعتمدة تستغرق وقتًا وتكلفة. لذلك أنصح عملائي بالتوثيق مباشرة بالصينية. هذا قد يبدو صعبًا للشركات التي ليس لديها موظفون يتقنون الصينية، لكنه أفضل من مواجهة ترجمة طارئة. أحد الحلول: توظيف مساعد إداري صيني بدوام جزئي مهمته الوحيدة هي ترجمة وتنسيق سجلات الأمن السيبراني. التكلفة حوالي 8 آلاف يوان شهريًا، وهي أقل بكثير من غرامة محتملة.

التوثيق ليس ثابتًا. يجب تحديثه عند كل تغيير. إذا اكتشفت ثغرة جديدة، أضفها. إذا أصلحت ثغرة، حدّث السجل. إذا تغيرت درجة الخطورة، أعد التصنيف ووثّق. هذا يعني أن التوثيق عملية حية، وليس أرشيفًا ميتًا. في تجربتي، الشركات التي تنجح في هذا هي التي تربط التوثيق بنظام إدارة التذاكر. عندما يُغلق التذكرة، يجب أن يُغلق معها سجل الثغرة المقابل. هذا يمنع النسيان. أنا شخصيًا أذكر أنني نسيت تحديث سجل إصلاح في عام 2020، واكتشف المدقق ذلك بعد ستة أشهر. لم تكن هناك غرامة، لكنها كانت لحظة محرجة. منذ ذلك الحين، أستخدم قائمة تحقق (Checklist) قبل إغلاق أي تذكرة أمنية.

أيضًا، التوثيق يجب أن يكون محميًا. لا يمكن تخزين سجلات الأمن السيبراني على نظام غير آمن. القانون يطلب حماية السجلات نفسها. إذا سُرقت السجلات أو عُدلت، فهذا انتهاك إضافي. لذلك يجب تشفير السجلات، وتقييد الوصول إليها، والاحتفاظ بنسخ احتياطية. مدة الاحتفاظ المطلوبة هي ثلاث سنوات على الأقل. بعض القطاعات، مثل التمويل، تطلب خمس سنوات. تأكد من معرفة القطاع الذي تعمل فيه. أنا أنصح دائمًا بالاحتفاظ لمدة خمس سنوات، لأنه لا يوجد ضرر من الاحتفاظ الأطول، بينما الحذف المبكر قد يكون كارثيًا.

الالتزام الخامس: التعاون

الالتزام الخامس هو التعاون مع الجهات التنظيمية. القانون الصيني لا يطلب منك فقط إدارة الثغرات داخليًا، بل يطلب التعاون الكامل مع CAC والجهات القطاعية. هذا يعني: الاستجابة لطلبات المعلومات، السماح بالتفتيش، تقديم التسهيلات للمدققين، وعدم عرقلة التحقيقات. التعاون ليس مجرد "عدم الرفض"، بل هو واجب إيجابي. في عام 2021، رفضت شركة أمريكية في قطاع الإعلانات الرقمية السماح لمدقق CAC بالوصول إلى سجلاتها بحجة "السرية التجارية". النتيجة: غرامة 1.2 مليون يوان، وإدراج الشركة في "قائمة المراقبة". هذا يعني أن كل تعاملاتها المستقبلية مع الجهات الحكومية ستكون تحت المجهر.

ما هو الشكل العملي للتعاون؟ أولًا: تعيين "ضابط اتصال" (Liaison Officer) للجهات التنظيمية. هذا الشخص يجب أن يكون متاحًا خلال ساعات العمل، وأن يتحدث الصينية بطلاقة. ثانيًا: الرد على طلبات المعلومات خلال المهلة المحددة. عادةً، تطلب CAC معلومات خلال 3-5 أيام عمل. التأخير يُعتبر عدم تعاون. ثالثًا: السماح بتركيب أدوات مراقبة إذا طلبت الجهة ذلك. في بعض القطاعات الحساسة، قد تطلب CAC تركيب نظام مراقبة داخل الشبكة. هذا قد يقلق المستثمرين الأجانب، لكنه التزام قانوني. رابعًا: حضور الاجتماعات الدورية مع الجهة التنظيمية. كثير من الشركات تهمل هذه الاجتماعات، ثم تتفاجأ عندما تكتشف أن لديها "ملفًا سيئًا" لدى الجهة.

من تجربتي، التعاون الجيد قد يحمي الشركة من غرامات كبيرة. أتذكر عميلًا في قطاع الطاقة اكتشف ثغرة حرجة في نظام سكادا (SCADA). بدلًا من إخفائها، أبلغ الجهة التنظيمية فورًا، وطلب مساعدتها الفنية. الجهة أرسلت خبيرًا للمساعدة في الإصلاح. الثغرة أُصلحت خلال 12 ساعة. لم تُفرض أي غرامة، بل شكرت الجهة الشركة على "الشفافية المهنية". هذا لا يعني أن كل الحالات ستنتهي بهذا الشكل، لكنه يوضح أن التعاون يستحق العناء. في المقابل، الشركات التي تحاول المناورة تجد نفسها في موقف أسوأ.

التحدي الثقافي في التعاون هو أن بعض الشركات الأجنبية معتادة على "الحقوق القانونية" في مواجهة الجهات التنظيمية. في الصين، النموذج مختلف. الجهة التنظيمية ليست خصمًا، بل شريكًا في الامتثال. هذا لا يعني التخلي عن الحقوق القانونية، بل يعني تغيير النبرة من "المواجهة" إلى "التعاون". أنصح عملائي بالاستعانة بمستشار قانوني صيني متخصص في الأمن السيبراني قبل أي تفاعل مع CAC. المستشار يمكنه صياغة الردود بطريقة تحمي الشركة دون أن تبدو غير متعاونة. التكلفة بسيطة مقارنة بالفوائد.

نقطة أخيرة: التعاون لا يقتصر على الجهات الحكومية. يشمل أيضًا التعاون مع منصات تنسيق الثغرات المستقلة، مثل CNVD. هذه المنصات قد تطلب معلومات إضافية عن الثغرات. التعاون معها طوعي في بعض الحالات، لكنه إلزامي في حالات أخرى. تحقق من الإجراءات الخاصة بقطاعك. في قطاع التمويل، التعاون مع منصة تنسيق الثغرات التابعة لبنك الشعب الصيني إلزامي. في قطاع الاتصالات، التعاون مع منصة وزارة الصناعة وتكنولوجيا المعلومات إلزامي. كل قطاع له متطلباته. لا تفترض أن "قاعدة واحدة تناسب الجميع".

الالتزام السادس: المسؤولية

الالتزام السادس هو المسؤولية القانونية. القانون الصيني لا يتعامل مع الشركات ككيان مجهول، بل يحدد مسؤوليات شخصية للمديرين والمسؤولين. بموجب المادة 64 من قانون الأمن السيبراني، إذا تسببت الشركة في ضرر نتيجة إهمال في إدارة الثغرات، يمكن أن يُعاقب ليس فقط الشركة، بل أيضًا "المسؤول المباشر" و"المسؤول الإداري". العقوبات قد تشمل غرامات شخصية تتراوح بين 10 آلاف و100 ألف يوان، وفي الحالات الجسيمة، قد تصل إلى السجن. هذا يعني أن المدير التقني أو مدير الامتثال قد يتحمل مسؤولية شخصية عن إهمال الشركة. في عام 2022، حُكم على مدير أمن معلومات في شركة تجارة إلكترونية بغرامة شخصية 50 ألف يوان، بالإضافة إلى غرامة الشركة، لأنه لم يوثق عملية إصلاح ثغرة حرجة. القضية أثارت قلقًا واسعًا في أوساط المدراء الأجانب في الصين.

ما الذي يعنيه هذا للمستثمر؟ يعني أن تعيين "شخص مسؤول" ليس كافيًا. يجب أن يكون هذا الشخص على دراية كاملة بالالتزامات القانونية، وأن يملك السلطة والموارد لتنفيذها. إذا تم تعيين شخص بدون صلاحيات، فقد يكون هو نفسه عرضة للعقاب. أنصح عملائي بتضمين "مسؤوليات الأمن السيبراني" في عقود العمل للمدراء المعنيين. يجب أن يكون واضحًا: ما هي المهام، ما هي المهل، ما هي العواقب في حالة الإهمال. هذا ليس تشاؤمًا، بل حماية للطرفين. الشركة تحمي نفسها من الإهمال، والمدير يحمي نفسه من الاتهامات الكيدية.

هناك أيضًا مسؤولية مدنية. إذا تسببت ثغرة في تسريب بيانات شخصية، يمكن للمتضررين رفع دعاوى تعويض. القانون الصيني يسمح بدعاوى جماعية في قضايا الأمن السيبراني. في عام 2023، رفعت مجموعة من المستخدمين دعوى ضد شركة سياحة بسبب تسريب بياناتهم نتيجة ثغرة لم تُصلح. المحكمة حكمت بتعويض إجمالي 2 مليون يوان. هذا النوع من الدعاوى في ازدياد. لذلك، إدارة الثغرات ليست فقط لتجنب الغرامات الحكومية، بل لتجنب الالتزامات المدنية أيضًا. التأمين السيبراني قد يغطي بعض هذه التكاليف، لكنه ليس بديلًا عن الامتثال. شركات التأمين الصينية ترفض تغطية الحوادث الناتجة عن "الإهمال المتعمد" أو "عدم الامتثال الواضح".

من الناحية العملية، المسؤولية تعني ضرورة وجود "هيكل حوكمة" (Governance Structure) للأمن السيبراني. هذا الهيكل يحدد من يتخذ القرارات، من ينفذها، من يراقبها. في الشركات الصغيرة، قد يكون هذا الهيكل بسيطًا: مدير عام، مسؤول أمن، فريق تقني. في الشركات الكبيرة، قد يكون هناك لجنة أمن سيبراني ترفع تقاريرها لمجلس الإدارة. القانون لا يفرض هيكلًا معينًا، لكنه يفرض وجود مسؤولية واضحة. إذا لم يكن هناك هيكل، فسيصعب تحديد من هو المسؤول عند وقوع حادث. وهذا يزيد من خطر العقوبات الشخصية.

أنا شخصيًا أرى أن هذا الجانب هو الأكثر إهمالًا من قبل المستثمرين العرب. كثير منهم يعتقدون أن "الشركة" هي المسؤولة، وليس الأفراد. لكن القانون الصيني يخترق الحجاب المؤسسي في قضايا الأمن السيبراني. لذلك، أنصح دائمًا بمراجعة عقود المدراء، والتأكد من وجود بند "التأمين ضد المسؤولية الإدارية" (D&O Insurance) يغطي قضايا الأمن السيبراني. بعض شركات التأمين الدولية تقدم هذا التغطية في الصين، لكن يجب قراءة الشروط بعناية. هناك استثناءات كثيرة. لا تفترض أن التغطية شاملة.

الالتزام السابع: التدقيق

الالتزام السابع هو التدقيق. القانون الصيني يفرض تدقيقًا دوريًا على مشغلي الشبكات، خاصة في القطاعات الحيوية. التدقيق قد يكون داخليًا أو خارجيًا. التدقيق الداخلي يقوم به قسم الامتثال أو قسم التدقيق الداخلي. التدقيق الخارجي تقوم به جهة تنظيمية أو شركة تدقيق معتمدة. في كلا الحالتين، يجب أن تكون مستعدًا. التدقيق ليس حدثًا مفاجئًا، بل هو عملية دورية. في قطاع التمويل، التدقيق سنوي. في قطاع الاتصالات، كل ستة أشهر. في القطاعات الأخرى، كل سنة إلى سنتين. لكن CAC قد تجري تدقيقًا مفاجئًا في أي وقت. لذلك، الاستعداد المستمر هو القاعدة.

ما الذي يبحث عنه المدقق؟ أولًا: وجود سياسة مكتوبة لإدارة الثغرات. ثانيًا: سجلات كاملة لدورة حياة الثغرات. ثالثًا: أدلة على الإبلاغ في الوقت المناسب. رابعًا: أدلة على الإصلاح أو التخفيف. خامسًا: أدلة على التدريب. هل تلقى الموظفون تدريبًا على إدارة الثغرات؟ سادسًا: أدلة على المراجعة الدورية. هل راجعت الشركة سجلاتها؟ هل حدّثت سياستها؟ سابعًا: أدلة على التعاون مع الجهات الخارجية. هذه سبعة عناصر أساسية. أي نقص فيها قد يؤدي إلى "ملاحظات تدقيق" (Audit Findings). الملاحظات قد تكون بسيطة أو جسيمة. الملاحظات الجسيمة قد تؤدي إلى غرامات أو أوامر تصحيح.

التدقيق ليس مجرد اجتياز. إنه فرصة لتحسين العمليات. في تجربتي، الشركات التي تتعامل مع التدقيق كـ "عدو" تخرج منه منهكة. الشركات التي تتعامل معه كـ "فرصة" تخرج منه أقوى. أحد عملائي في قطاع اللوجستيات كان لديه تدقيق في 2022. بدلًا من الاستعداد بشكل سطحي، قرر إجراء "تدقيق تجريبي" (Mock Audit) قبل ثلاثة أشهر. استعان بشركة استشارية صينية لإجراء التدقيق التجريبي. النتيجة: اكتشف 14 ثغرة في عملياته، أصلحها جميعًا قبل التدقيق الرسمي. التدقيق الرسمي انتهى بدون أي ملاحظة جسيمة. وقال لي: "التدقيق التجريبي كلفني 80 ألف يوان، لكنه وفر عليّ غرامات محتملة بمليون يوان."

التدقيق يشمل أيضًا "اختبار الاختراق" (Penetration Testing). بعض الجهات التنظيمية تطلب تقارير اختبار اختراق سنوية. هذا الاختبار يجب أن يُجرى بواسطة جهة معتمدة في الصين. لا يمكن الاعتماد على تقارير اختبار اختراق من الخارج إلا إذا كانت الجهة معتمدة محليًا. لذلك، أنصح بتضمين بند في الميزانية لاختبار الاختراق السنوي. التكلفة تتراوح بين 50 ألف و200 ألف يوان حسب حجم الشبكة. هذا ليس ترفًا، بل هو متطلب قانوني في كثير من القطاعات. في قطاع التمويل، اختبار الاختراق إلزامي مرتين سنويًا. في قطاع الطاقة، مرة سنويًا. تحقق من متطلبات قطاعك.

أخيرًا، نتائج التدقيق يجب أن تُوثق. يجب إنشاء "خطة تصحيح" (Corrective Action Plan) لكل ملاحظة. الخطة يجب أن تحدد: الإجراء التصحيحي، المسؤول، المهلة، وطريقة التحقق. الجهة التنظيمية قد تطلب متابعة الخطة بشكل دوري. إذا لم تنفذ الخطة، تتحول الملاحظة إلى "انتهاك". لذلك، لا تتعامل مع خطة التصحيح كوثيقة شكلية. إنها التزام قانوني. في عام 2021، فرضت CAC غرامة على شركة لأنها لم تنفذ خطة التصحيح التي وافقت عليها. الغرامة كانت 300 ألف يوان، مع إلزام بتنفيذ الخطة خلال 15 يومًا. الشركة اضطرت إلى تعيين فريق طوارئ، وتكبدت تكاليف إضافية كبيرة.

الالتزام الثامن: الثقافة

الالتزام الثامن والأخير هو بناء ثقافة الأمن السيبراني. القانون لا يطلب فقط إجراءات، بل يطلب "وعيًا" (Awareness). المادة 19 من قانون الأمن السيبراني تطلب من مشغلي الشبكات "تعزيز وعي الموظفين بالأمن السيبراني". هذا ليس بندًا إنشائيًا. الجهات التنظيمية تطلب أدلة على وجود برامج توعية. هذه البرامج قد تشمل: تدريب سنوي، اختبارات تصيد احتيالي (Phishing Tests)، نشرات دورية، ورش