الجريدة الرسمية27(82 )2023 سمبرسد 7( 1445 ألولىا ىداجم 23 - مكرر 7254 عدد
7 /23 وتستند السيادة الرقمية إلى ركيزتين اثنتين:1) سيادةالمعطياتو2) السيادة التكنولوجية14 . وتتعلق الركيزة الأولى بالموقعالجغرافي للخادم السحابيالذييتم فيه تخزين ومعالجةالمعطيات، والأشخاص الذينيمكنهم الوصول إلىالمعطياتوالتصرف فيها، وأخيرا ً القوانين المعمول بها. أما الركيزة الثانية فتهمالجانب التكنولوجي المتعلق بالتمكن من مهارات استخدام البرمجيات والأجهزة. وبالنظر إلىالآليات والوسائل الالزمة لتحقيق السيادة الرقمية، فال يمكنالتعاطي معهابمنطق"إماكل شيء أو ال شيء".
وتَعتَمد ُ القوانين ُ التي تُتيح الوصول إلىمعطياتالمنظمات والمقاوالتوحمايتها اعتمادا ً وثيقا ً على الموقع الجغرافيللخادم السحابي الذي تُخزن فيه هذهالمعطيات(توطين المعطيات /data residency)15 .ويجب أن تمتثل نظم المعلومات والمعطياتالحساسة في قطاعات الأعمال الحيوية (الأمن والشؤون الخارجية والمالية والاتصالات السلكية والالسلكية والبنوكوالصحة وغيرها)للقوانينالمتعلقةبإيواءالمعطيات16 .
وتجدر الإشارة إلىأنبعض البلدانتعتمدعلى تشريعاتيمتد نطاقُها خارج حدودها،وتسريعلىجميع مزودي الخدماتالسحابية على المستوى الوطنيعلى نحويُتيحلهاإمكانيةمراقبة المعطياتالخاصةببلدان أخرىالتي تخزنهاهذه الشركات. ومنبينهذه القوانين،القانونالأمريكيالمتعلق ب"توضيح استخدام المعطياتالقانونيةفي الخارج"(كالود)17 الذييسمحلحكومة الواليات المتحدة الأمريكيةبالولوج إلى المعطيات الحساسة إلحدى الهيئات الوطنية لدولة من الدول، والتي تأويها إحدى شركات الخدمات السحابية الأمريكية.
وثمة تحد ٍّ أساسيبالنسبة لبالدنا،يتجلى فيضرورة إيواءالمعطياتوالتطبيقاتذات الطبيعة الحساسة (الأسرار/المعطياتالسريةالتي يحميها القانون،المعطياتالمتعلقةللقيام بمهام أساسيةللدولة)على التراب الوطني وإدارتها من طرفالفاعلين في مجال التكنولوجيا السحابية الخاضعين قانونا للتشريعاتالوطنية، ً وذلك ضمانا ً لسيادة القوانين الوطنية لألمن السيبراني وحمايةللمعطيات ذات الطابع الشخصي.
وتجدر الإشارة إلىأنإيواء جميع المعطيات داخل التراب الوطنيأمر غير مطلوب في بعض البلدان18 باستثناءالمعطياتالحساسة.ُ ويُرجحبالأحرىتعزيز التدابير الأمنية مثل التشفير وإخفاء الهوية وعمليات التدقيق الأمني(عمليات فحص شاملة)التي يجريهاالأغياروالامتثال للمعايير الأمنية المعمول بها19 .فبغض النظر عنإيواءالمعطيات،يتعيناعتماد مقاربة"الثقة المعدومة" (zero trust)20 ، والتيتتمثل فيتقليص "الثقةالضمنية"الممنوحةللمستعملين والخدمات في إطار النموذج التقليدي لحماية المعطيات.21 تعريف "الثقة المعدومة" ترتكز مقاربة "الثقة المعدومة" (zero trust،)على اعتبارُ أنه ال ينبغي الوثوق افتراضيًا بأيمَ ستعمل أو جهاز أو نظام داخل الشبكة أو خارجها.ويتجلى المبدأ الضمني خلف المصطلح في عدم منح الثقة ألي كان والتحقق الدائم والتأكيد المستمر عند طلب الوصول إلى معلومات.
14 https://atos.net/en/lp/digital-sovereignty-cybersecurity-magazine/what-is-sovereignty-and-why-it-does- matter 15 على غرارالنظام الأوروبي لحماية البيانات (RGPD)، والذييسري في الاتحاد الأوروبي. 16 ينص القانون رقم20-05في المادة11على أنه "يجب إيواء المعطيات الحساسة، حصرياً، داخل التراب الوطني". 17 يسمى قانون توضيح الاستخدام القانوني للمعطيات في الخارج (Clarifying Lawful Overseas Use of Data.) 18 ينص القانون رقم20-05فيالمادة11على أنه "يجب إيواء المعطيات الحساسة، حصرياً، داخل التراب الوطني". 19 قدتتضمن هذه المعايير والمتطلبات الأساسية:شهادةCSA STAR، الأيزو22301(أنظمة إدارة استمرارية الأعمال /Business continuity management systems)؛ الأيزو/أي إي سي27001(إدارة أمنالمعلومات)؛ الأيزو/آي إي سي27701(إدارة معلومات الخصوصية)؛
الأيزو/آي إي سي27017(الأمن السحابي)؛ الأيزو/آي إي سي27018(خصوصية السحابة)؛ الأيزو/آي إي سي27035(الإبالغ عن الحوادث)؛
تقرير ضوابط مؤسسة الخدمة1و2(Service Organization Controls Report SOC 1 and 2)؛ المعايير التي تخدم متطلبات الأمان الخاصة بقطاع ٍّ مُعين مثل معيار أمانمعطياتصناعة بطاقات الدفع (PCI DSS) للخدمات المالية.
20 21 https://www.ssi.gouv.fr/agence/publication/le-modele-zero-trust/ 14 https://atos.net/en/lp/digital-sovereignty-cybersecurity-magazine/what-is-sovereignty-and-why-it-does-matter )، والذي يرسي يف الاتحاد الأورويب.RGPDعىل غرار النظام الأورويب لحامية البيانات ( 15 عىل أنه «يجب إيواء المعطيات الحساسة، حرصياً، داخل الرتاب الوطني». 11 يف المادة 05-20 ينص القانون رقم 16 .)Clarifying Lawful Overseas Use of Dataيسمى قانون توضيح الاستخدام القانوين للمعطيات يف الخارج ( 17 عىل أنه «يجب إيواء المعطيات الحساسة، حرصياً، داخل الرتاب الوطني». 11 يف المادة 05-20 ينص القانون رقم 18 (إدارة أمن 27001 )؛ الأيزو/أي إي يسBusiness continuity management systems (أنظمة إدارة استمرارية الأعامل / 22301 ، الأيزوCSA STAR قد تتضمن هذه المعايري والمتطلبات الأساسية: شهادة 19 (الإبالغ عن الحوادث)؛ 27035 (خصوصية السحابة)؛ الأيزو/آي إي يس 27018 (الأمن السحايب)؛ الأيزو/آي إي يس 27017 (إدارة معلومات الخصوصية)؛ الأيزو/آي إي يس 27701 المعلومات)؛ الأيزو/آي إي يس )؛ المعايري التي تخدم متطلبات الأمان الخاصة بقطاع ٍ مُعي َّ مثل معيار أمان معطيات صناعة بطاقات الدفعService Organization Controls Report SOC 1 and 2( 2و 1 تقرير ضوابط مؤسسة الخدمة ) للخدمات المالية.PCI DSS( 20 https://www.ssi.gouv.fr/agence/publication/le-modele-zero-trust ، 20