التبليغ عن خرق في خمسة أيام: المسار، ساعة بساعة

يوم خميس على الساعة السابعة مساء، تتلقّى المسؤولة الإدارية في عيادة خاصة رسالة من مريض: وصله خطأً تقرير شخص آخر. تتصل بالمزوّد فلا يجيب. تقول في نفسها إنها ستنظر يوم الأحد. الساعة انطلقت السابعة مساء، ولم يبقَ لها صباح الأحد إلا ما يزيد قليلا عن نصف الأجل.

التبليغ عن خرق للبيانات يُحسب بخمسة أيام ابتداء من العلم، وأغلب المؤسسات التي تفوّت هذا الأجل تفوّته للسبب نفسه: تنتظر أن تتيقّن. ومشروع ذكاء اصطناعي لا يغيّر القاعدة، بل يضاعف الأماكن التي قد يولد فيها حادث.

يعطي هذا المقال المسار ساعة بساعة: ما يُطلق الساعة، وكيف تُوصَف الوقائع، ومن يوقّع، وما تحتويه الرسالة، وما يفعله عطلة نهاية الأسبوع بالرزنامة. وهو لا يعالج كيفية إيقاف حادث — الحكايات الأربع والساعة الأولى موضوع آخر، ونقطة انطلاق أفضل لذلك الشقّ.

خرق البيانات ليس مرادفا للقرصنة. هو يغطّي ثلاثة مساسات: بالسرّية — رأى أحدهم ما لم يكن يجب أن يراه؛ وبالسلامة — عُدّلت بيانات؛ وبالتوفّر — لم تعد تصل إليها.

والثالث يفاجئ وهو الذي تستبعده المؤسسات خطأً. خادم مشفَّر ببرنامج فدية، ونسخة احتياطية ضائعة، ومزوّد يقطع الوصول إلى قاعدة: هذه مساسات بتوفّر بيانات شخصية، حتى إن لم يقرأها أحد.

وبالمقابل، انقطاع كهرباء يجعل برنامجا غير متاح ساعتين دون ضياع بيانات ليس خرقا، وملفّ اطّلع عليه شخص مرخَّص له لم يكن لديه سبب لذلك قد يكون خرقا — هو دخول غير مأذون به ولو دون اقتحام خارجي.

والسؤال الصحيح، الذي يُطرح في عشر دقائق، ثلاثي: هل بيانات شخصية معنية، وهل وقع أحد المساسات الثلاثة، وهل تستطيع إثبات أنه لم يقع. والثالث هو الأنفع: حين يكون الجواب «على الأرجح لا، لكن لا نستطيع إظهار ذلك»، عامله معاملة الخرق.

التبليغ يُلزم المسؤول عن المعالجة، أي المؤسسة، بدقّة ما يصفه. فهو يوقَّع من المديرية، على أساس ملفّ يحضّره مندوب حماية البيانات حين يوجد.

ومسؤول المعلوماتية يقدّم الوقائع التقنية ولا يوقّع. والتمييز ليس سلّميا: هو يصف ما عاينه، وهذا كثير في ذاته، وليس في موقع يسمح له بالفصل في ما تصرّح به المؤسسة عن نفسها.

وهذا التوزيع يجب أن يُكتب قبل، لأن لحظة اكتشافه أسوأ لحظة لتقريره. مؤسسة تقضي ستّ ساعات في معرفة من يحقّ له التوقيع تكون قد أنفقت جزءا من عشرين من أجلها على مسألة هيكل تنظيمي.

ودبّر البديل أيضا. أجل خمسة أيام يعبر غيابا كثيرا، وإجراء يسمّي شخصا واحدا يتوقّف يوم يكون ذلك الشخص في عطلة — وهو، إحصائيا، ما سيقع مرة كل بضعة حوادث.

إعلام الأشخاص المعنيين التزام متمايز، يُطلقه مستوى الخطر عليهم لا حجم الحادث. ملفّ بألف عنوان بريد مكشوف وثلاثة تقارير طبية أُرسلت إلى المرسَل إليه الخطأ لا يُعالَجان بالطريقة نفسها، والحالة الثانية هي التي تستدعي إعلاما فرديا.

ويجب أن تكون الرسالة نافعة لا قانونية. ما حدث، وأي بيانات تخصّهم معنية، وما يخاطرون به فعليا، وما يستطيعون فعله — تغيير كلمة سرّ، ومراقبة كشف، والحذر من مكالمة تنتحل اسمك — وإلى من يكتبون.

وما لا يجب فعله أقصر: عدم التهوين، وعدم انتظار خبر سارّ يُعلَن معه، وعدم إرسال رسالة عامة إلى القاعدة كلّها حين لا يُعنى إلا ثلاثون شخصا. والثالث يحوّل حادثا محصورا إلى حدث عمومي.

ورزنامة هذا الإعلام ليست رزنامة التبليغ للسلطة، والاثنان يُحضَّران منفصلين. وعمليا، الثاني يُحرَّر أسرع من الأول، لأنه وقائعي بينما الأول يقتضي اختيار كلمات.

نكتب الإجراء في صفحة معك: من يدوّن الساعة، ومن يوصّف، ومن يوقّع، ومن يحلّ محلّه، والجملة التي تُرسَل حين يكون الملفّ ما يزال ناقصا. ونتحقّق أيضا من وجود السجلّات ومن أنها تعود بعيدا بما يكفي، لأن تبليغا بلا سجلّات تبليغ يصف انطباعات.

ونقود التمرين على الأبيض ونحسب الوقت، بما في ذلك حين تكون النتيجة محرجة لمن استدعانا. وهذا هو الجزء الأقبل للقياس في هذا العمل وهو الأقلّ طلبا منّا.

ولا نرسل شيئا إلى السلطة باسمك ولا نوقّع تبليغك. هو يُلزم مؤسستك بدقّة ما يصفه، وتصريح يوقّعه مزوّد تقني تصريح تكتشفه المديرية بعد فوات الأوان. نحن نحضّر؛ وأنت توقّع.

ولن نقول إن حادثا ليس خرقا. لهذا التوصيف نتائج قانونية، وهو يعود إلى محامٍ أو إلى مندوبك، ومزوّد يطمئن في هذه النقطة يوفّر عليك تصريحا ويكلّفك الحماية الوحيدة التي كان التصريح يقدّمها — كونك تصرّفت في الآجال.