منذ التنفيذ المتتابع لقانون أمن البيانات وقانون حماية المعلومات الشخصية في عام 2021، ازدادت متطلبات الامتثال لمعالجة ملفات المؤسسات بشكل كبير. العقود والتقارير المالية وقوائم العملاء—كل منها يمكن أن يعبر الحدود القانونية أثناء النقل والتخزين والضغط. تبدأ هذه المقالة من المتطلبات القانونية وتنظم بشكل منهجي مخاطر الامتثال وطرق الاستجابة لها في معالجة ملفات المؤسسات.
هذه المقالة توسعة لقسم الامتثال في الدليل الشامل لضغط الملفات. نوصي بقراءتهما معاً لفهم شامل للجوانب التقنية وجوانب الامتثال لمعالجة الملفات.
1. المتطلبات الرئيسية لقانون أمن البيانات
دخل قانون أمن البيانات لجمهورية الصين الشعبية حيز التنفيذ في 1 سبتمبر 2021، مؤسساً الإطار الأساسي لحماية أمن البيانات. لمعالجة ملفات المؤسسات، تتركز المتطلبات الرئيسية في مجالين.
1.1 تصنيف وتدرج البيانات
يطلب قانون أمن البيانات إنشاء نظام وطني لتصنيف وتدرج البيانات، ويجب على المؤسسات تصنيف وتدرج بياناتها وفقاً لذلك. الملفات كناقل مهم للبيانات يجب أن تُصنف إلى مستويات مختلفة وفقاً لأهميتها وشدة الضرر عند التسريب. على سبيل المثال، المعلومات العامة والمعلومات الداخلية والمعلومات الحساسة والمعلومات السرية المصنفة يجب أن تخضع لمستويات مختلفة من التدابير الوقائية.
في جانب معالجة الملفات، يعني هذا أن الملفات ذات مستويات تصنيف مختلفة يجب أن تستخدم مستويات أمان مختلفة للمعالجة. الملفات السرية لا يجوز رفعها على أدوات الإنترنت العامة، والملفات التي تحتوي على معلومات حساسة يجب أن تخضع لإزالة التحديد أو التشفير قبل التداول. الخطوة الأولى للمؤسسات هي إنشاء سجل تصنيف وتدرج الملفات لتحديد أي الملفات يمكن معالجتها عبر الإنترنت وأيها يجب معالجته محلياً.
1.2 المعالجة الآمنة
يطلب قانون أمن البيانات من أنشطة معالجة البيانات الامتثال للمتطلبات القانونية وإنشاء نظام شامل لإدارة أمن البيانات. معالجة الملفات (الإنشاء والتحرير والضغط والتحويل والنقل والإتلاف) جميعها أنشطة معالجة بيانات يجب إدراجها في إدارة الامتثال.
يجب على المؤسسات ضمان أن أدوات معالجة الملفات نفسها لا تسبب تسريب البيانات. على سبيل المثال، عند استخدام أدوات الضغط عبر الإنترنت، يتم رفع الملفات على خوادم خارجية، مما قد يشكل تصدير بيانات أو مشاركة بيانات غير مصرح بها. عند اختيار أدوات المعالجة، يجب أن يكون "هل يمكننا التحكم في تدفق البيانات" هو عامل التقييم الرئيسي.
2. تأثير قانون حماية المعلومات الشخصية على معالجة الملفات
دخل قانون حماية المعلومات الشخصية حيز التنفيذ في 1 نوفمبر 2021، وأسس متطلبات واضحة لجمع وتخزين واستخدام ونقل وحذف المعلومات الشخصية. العديد من الملفات التي تعالجها المؤسسات يومياً تحتوي على معلومات شخصية: سير ذاتية للموظفين تحتوي على أرقام هوية، عقود العملاء تحتوي على معلومات اتصال، تقارير مالية تحتوي على أرقام حسابات بنكية.
التأثيرات الرئيسية لهذا القانون على معالجة الملفات.
- مبدأ الحد الأدنى من الضرورة: يجب أن تقتصر معالجة المعلومات الشخصية على الحد الأدنى اللازم لتحقيق هدف المعالجة، دون جمع مفرط.
- الإخطار والموافقة: جمع واستخدام المعلومات الشخصية يتطلب إخطار الشخص والحصول على موافقته. المعلومات الشخصية في الملفات يجب أن تتبع هذا المبدأ أيضاً.
- قيود النقل العابر للحدود: تقديم المعلومات الشخصية للخارج يتطلب تلبية الشروط القانونية مثل تقييم الأمان أو المصادقة أو توقيع عقود قياسية.
- التزام الحذف: يجب حذف المعلومات الشخصية بنشاط بعد تحقيق هدف المعالجة. أرشفة الملفات يجب أن تأخذ هذا المطلب في الاعتبار.
عملياً، أكثر فجوة امتثال يغفل عنها المؤسسات هي رفع ملفات تحتوي على معلومات شخصية إلى أدوات عبر الإنترنت تقدمها خوادم أجنبية. عملية "الضغط عبر الإنترنت" التي تبدو عادية قد تشكل بالفعل تصديراً للمعلومات الشخصية، مما يطلق التزاماً قانونياً بالتسجيل.
3. ثلاثة مخاطر امتثال في معالجة ملفات المؤسسات
3.1 خطر تصدير البيانات
عند استخدام أدوات معالجة ملفات عبر الإنترنت أجنبية، يتم نقل بيانات الملفات إلى خوادم أجنبية، مما يشكل تصدير بيانات. وفقاً لقانون أمن البيانات وقانون حماية المعلومات الشخصية، تصدير البيانات المهمة يتطلب اجتياز تقييم أمان، وتصدير المعلومات الشخصية يجب أن يلبي الشروط القانونية. كثير من موظفي المؤسسات يستخدمون بدافع العادة أدوات PDF أجنبية عبر الإنترنت لمعالجة العقود والتقارير وغيرها من الملفات، دون إدراك أن هذه العمليات قد تطلبت التزامات امتثال تصدير بيانات لم تتمكن المؤسسة من إكمالها عبر الإجراءات المناسبة.
التوصية: للملفات المتعلقة ببيانات مهمة أو معلومات شخصية، استخدم أدوات المعالجة المحلية لإزالة تصدير البيانات من المصدر.
3.2 خطر المعالجة من قبل أطراف ثالثة
ترفع أدوات معالجة الملفات عبر الإنترنت عادة الملفات إلى خوادم خارجية. حتى لو وعد المزيل بالحذف الفوري بعد المعالجة، تواجه المؤسسات المخاطر التالية: تسرب البيانات من المزيل مما يؤدي إلى تعرض الملفات؛ احتفاظ المزيل بنسخ لأغراض أخرى؛ الحصول القانوني الإجباري على البيانات في نطاق اختصاص المزيل. للملفات الحساسة—العقود والبيانات المالية ومعلومات العملاء—تسليمها لأطراف ثالثة غير خاضعة للرقابة هو في جوهره توسيع لهجوم تسرب البيانات.
3.3 خطر حفظ السجلات
يطلب قانون أمن البيانات من معالجي البيانات الاحتفاظ بسجلات معالجة البيانات لمدة لا تقل عن ستة أشهر. معالجة الملفات جزء مهم من معالجة البيانات، ويجب على المؤسسات تسجيل "من ومتى وأي ملف عالج". إذا استخدم الموظفون أدوات إنترنت شخصية لمعالجة ملفات المؤسسة، فإن هذه العمليات غالباً ما تكون خارج نطاق سجلات المؤسسة، مما يخلق نقاط عمى في الامتثال ويجعل التتبع مستحيلاً في حالة وقوع حادث تسرب بيانات.
4. اختلافات الامتثال: الضغط المحلي vs عبر الإنترنت
من منظور الامتثال، توجد اختلافات جوهرية بين الضغط المحلي وعبر الإنترنت.
| الجانب | الضغط المحلي | الضغط عبر الإنترنت |
|---|---|---|
| موقع البيانات | يبقى على الجهاز المحلي | يرفع على خوادم خارجية |
| تصدير البيانات | غير متضمن | قد يشكل تصدير بيانات |
| خطر الطرف الثالث | غير موجود | خطر التسريب والاحتفاظ |
| التحكم في السجلات | يمكن للمؤسسة تسجيل المعالجة | العمليات خارج نطاق سجلات المؤسسة |
| الاعتماد على الشبكة | لا تتطلب شبكة | الاتصال إلزامي |
| الملاءمة للامتثال | مناسب لجميع أنواع الملفات الحساسة | فقط للمعلومات العامة |
يستخدم SmartSlim وضع ضغط محلي بحت: تتم معالجة الملفات بالكامل على جهاز المستخدم، دون رفع البيانات وبدون حاجة للشبكة، مما يلبي بشكل طبيعي متطلبات قانون أمن البيانات وقانون حماية المعلومات الشخصية لمعالجة الملفات الحساسة. للمؤسسات التي تحتاج لمعالجة العقود والتقارير المالية وبيانات العملاء وغيرها من الملفات الحساسة، فإن الضغط المحلي طريقة فعالة لتجنب مخاطر عدم الامتثال.
5. توصيات الامتثال القطاعية
القطاع الحكومي والمؤسسات المملوكة للدولة
تعالج الأجهزة الحكومية والمؤسسات المملوكة للدولة ملفات تحتوي غالباً على أسرار وطنية ومعلومات داخلية حساسة، مع أشد متطلبات الامتثال. التوصيات: يجب إكمال جميع معالجة الملفات في شبكات داخلية أو محلياً، حظر استخدام أدوات الإنترنت العامة؛ الملفات السرية يجب معالجتها بأدوات اجتازت شهادة حماية الأسرار الوطنية؛ المستندات الإلكترونية يفضل أن تكون بتنسيق OFD وتُضغط بأدوات محلية. راجع الاختلافات بين OFD وPDF وطرق الضغط.
القطاع المالي
تعالج البنكات وشركات التأمين والوسطاء ملفات بكميات كبيرة من البيانات الشخصية والمالية للعملاء، تخضع لرقابة تنظيمية صارمة. التوصيات: يجب إجراء ضغط وتحويل مستندات العملاء وعقود القروض وما شابه محلياً؛ إنشاء سير عمل موافقة معالجة الملفات يسجل كل عملية؛ إجراء تدقيق دوري لاستخدام أدوات معالجة الملفات لضمان عدم نقل الملفات الحساسة للخارج.
القطاع الطبي
تعالج المؤسسات الطبية السجلات الطبية وتقارير الفحوصات وغيرها من الملفات المصنفة كمعلومات شخصية حساسة، تخضع للوائح مثل قواعد إدارة السجلات الطبية للمؤسسات الطبية. التوصيات: يجب إكمال ضغط وأرشفة السجلات الطبية في نظام محلي داخل المؤسسة؛ نقل السجلات الطبية الإلكترونية يجب أن يستخدم قنوات مشفرة؛ ملفات معلومات المرضى يجب ألا تُرفع على أي أدوات إنترنت خارجية لتفادي تفعيل التزامات تصدير المعلومات الشخصية.
6. قائمة مرجعية للامتثال عند اختيار أدوات معالجة الملفات
عند اختيار أدوات معالجة الملفات، نوصي بالتحقق من بنود الامتثال التالية تباعاً.
- هل تُرفع البيانات على خوادم: إعطاء الأولوية للأدوات المحلية حيث لا تغادر الملفات الجهاز.
- هل يتطلب المعالجة اتصالاً بالشبكة: المعالجة دون اتصال أكثر أماناً ولا تعتمد على شبكات خارجية. هل مزيل الأداة مسجل في البلاد: يتعلق بتحديد تصدير البيانات؛ يحتاج مزيد من الانتباه للمزيلين الأجانب.
- هل يدعم تسجيل سجلات معالجة الملفات: لتلبية متطلب قانون أمن البيانات بحفظ السجلات لمدة 6 أشهر على الأقل.
- هل حصل على شهادات أمان ذات صلة: مثل تقييم حماية المعلومات السرية، ISO 27001.
- هل وقع عقد معالجة بيانات: لتوضيح التزامات ومسؤوليات الطرفين بشأن أمن البيانات.
- هل يدعم المعالجة الدفعية وإدارة الصلاحيات: لتلبية احتياجات الإدارة والتدقيق للمؤسسة.
فقط الأدوات التي تجتاز الفحوصات أعلاه يمكن إدراجها في القائمة البيضاء لأدوات معالجة الملفات للمؤسسة. على سبيل المثال، وضع SmartSlim المحلي يلبي المتطلبات في أبعاد مثل موقع البيانات والاعتماد على الشبكة والتحكم في السجلات، مما يجعله مناسباً كأداة ضغط ملفات قياسية للمؤسسة.
7. الأسئلة الشائعة (FAQ)
إذا وعدت أداة الضغط عبر الإنترنت بحذف الملفات فوراً بعد المعالجة، هل يبقى خطر عدم الامتثال؟
يبقى الخطر. حتى لو وعد المزيل بالحذف، فقد غادرت البيانات جهازك بالفعل أثناء النقل ويمكن اعتراضها أو حفظها أو إجبارها قانونياً على الكشف. قناة النقل نفسها ونظام تسجيل المزيل وآليات النسخ الاحتياطي يمكن أن تترك آثاراً للملف. للملفات الحساسة، الرفع نفسه هو خطر. نوصي باستخدام أدوات الضغط المحلية.
هل يتوافق مع المتطلبات عندما يرسل الموظفون ملفات مضغوطة عبر الإنترنت عبر بريد إلكتروني شخصي؟
بشكل عام لا. البريد الإلكتروني الشخصي لا تداره المؤسسة، ولا يمكن تسجيل أنشطة المعالجة في سجلات المؤسسة، وقد تمر الرسائل عبر خوادم أجنبية مما يخلق خطر تصدير البيانات. يجب على المؤسسات حظر مثل هذا السلوك صراحة بالسياسة وتوفير البريد الإلكتروني المؤسسي وأدوات المعالجة المحلية كبديل.
هل توجد أحكام محددة حول ضغط الملفات في قانون أمن البيانات؟
لا توجد أحكام محددة حول ضغط الملفات في قانون أمن البيانات، لكن ضغط الملفات نشاط معالجة بيانات يخضع لمتطلبات عامة مثل تصنيف البيانات والمعالجة الآمنة وحفظ السجلات. العوامل الرئيسية للامتثال هي مستوى بيانات الملفات المعالجة، تورط المعلومات الشخصية، وما إذا كان تصدير البيانات يحدث أثناء المعالجة.
كيف تلبي أدوات الضغط المحلية متطلبات حفظ السجلات؟
يمكن للمؤسسات أن تطلب من أدوات الضغط المحلية توفير وظيفة تسجيل المعالجة، وتسجيل وقت المعالجة وأسماء الملفات والمشغل ومعلمات الضغط ومعلومات أخرى مع حفظ السجلات لمدة لا تقل عن ستة أشهر. تدعم الأدوات الاحترافية مثل SmartSlim تسجيل المعالجة المحلي ويمكنها تصدير السجلات لإجراء تدقيق أمني، مما يساعد المؤسسات على تلبية متطلبات حفظ السجلات في قانون أمن البيانات.
الخلاصة
تنفيذ قانون أمن البيانات وقانون حماية المعلومات الشخصية نقل معالجة ملفات المؤسسات من "كما هو مناسب" إلى "كما يتوافق مع المتطلبات". المبادئ الرئيسية ثلاثية: تصنيف البيانات، الأولوية المحلية، والسجلات القابلة للتتبع. تصنيف وتدرج الملفات لإدارتها، معالجة جميع الملفات الحساسة محلياً، وضمان تسجيل جميع أنشطة المعالجة وتتبعها—تحقيق هذه النقاط الثلاث يؤسس بشكل أساسي إطار الامتثال لمعالجة ملفات المؤسسات.
اختيار أداة ضغط ملفات تدعم المعالجة المحلية وتوفر سجلات قابلة للتتبع هو نقطة الانطلاق الأكثر مباشرة لتنفيذ متطلبات الامتثال. لقراءة المزيد عن المبادئ التقنية وطرق ضغط الملفات، راجع الدليل الشامل لضغط الملفات.
مقالات ذات صلة: