لم تعد الدولة الحديثة تُحرس بالوسائل التي عرفتها الدولة التقليدية وحدها؛ فحدود الوطن لم تعد تنتهي عند البر والبحر والجو، وإنما امتدت إلى فضاء آخر لا تُرى حدوده، ولا تُسمع فيه أصوات المدافع، ومع ذلك قد يكون اختراقه أكثر أثراً من اختراق الحدود المادية نفسها.
هناك، في ذلك الفضاء الصامت، توجد ذاكرة الدولة، وبيانات مواطنيها، وأنظمتها المالية، وسجلاتها العدلية والصحية، ومرافقها الحيوية، ومنصاتها الحكومية، وأسرارها الإدارية، بل وأجزاء متزايدة من قدرتها على اتخاذ القرار وتقديم الخدمة العامة.
ومن هنا تبدو عبارة وزارة الدفاع الإلكترونية التي اقترحها والتي أراها أكثر من مجرد استعارة صحفية؛ إنها تعبير عن تحول عميق في مفهوم السيادة والأمن. فالدولة التي كانت تسأل في الماضي: كيف نحمي إقليمنا؟ أصبحت مطالبة اليوم بأن تسأل سؤالاً أكثر تعقيداً: كيف نحمي المجال الرقمي الذي أصبحت الدولة نفسها تمارس من خلاله سلطتها؟ وهنا تحديداً تبدأ المسألة القانونية، فالأمن السيبراني ليس مسألة تقنية فحسب، كما أن الدولة الرقمية ليست مجرد دولة استبدلت الأوراق بالشاشات، نحن أمام تحول في طبيعة السلطة ذاتها؛ فالقرار الإداري الذي كان يُكتب في ملف أصبح يُولد داخل نظام معلوماتي، والبيانات التي كانت تحفظ في خزائن أصبحت تنتقل بين قواعد بيانات، والخدمة العامة التي كان المواطن يتلقاها من موظف أصبحت تقدمها منصة، وربما خوارزمية، وربما نظام مؤتمت لا يرى المواطن من يقف خلفه.
ومتى انتقلت الإدارة إلى الفضاء الرقمي، انتقلت معها قواعد القانون العام: المشروعية، والاختصاص، والمسؤولية، والشفافية، وحماية الحقوق، والرقابة، والتظلم، والقضاء، ولهذا فإن الخطأ الأكبر الذي يمكن أن نقع فيه هو أن ننظر إلى الأمن السيبراني باعتباره شأناً يخص المهندسين والخبراء التقنيين وحدهم. فالخطر الرقمي قد يبدأ من ثغرة تقنية، لكنه ينتهي في كثير من الأحيان إلى سؤال قانوني: من كان مسؤولاً عن إغلاقها؟ وهل كان يعلم بها؟ وهل اتخذ الاحتياطات المعقولة؟ وهل كان النظام مصمماً وفق الضوابط الواجبة؟ ومن يملك صلاحية الوصول إلى البيانات؟ وهل كان استخدام تلك الصلاحية مشروعاً؟ هذه الأسئلة لا تجيب عنها التقنية وحدها، إنها أسئلة القانون.
ومن هنا يمكن فهم عبارة وزارة الدفاع الإلكترونية التي اقترحتها، باعتبارها مفهوماً وظيفياً لمنظومة أوسع من جهة واحدة؛ منظومة تتكون من التشريع، والجهات التنظيمية، والأجهزة الحكومية، والجهات الأمنية، ومراكز العمليات السيبرانية، والمختصين، والقطاع الخاص، وأخيراً القضاء الذي يمثل صمام الأمان عندما تتقاطع ضرورات الحماية مع حقوق الأفراد.
وفي المملكة العربية السعودية، أصبح الأمن السيبراني جزءاً من البناء المؤسسي للدولة، ولم يعد مجالاً هامشياً تابعاً للتحول التقني، بل أصبح مكوناً من مكونات الأمن الوطني، وحماية المصالح الحيوية، واستمرارية الخدمات الحكومية، وصيانة البنية الرقمية التي تقوم عليها الدولة الحديثة، لكن أهمية هذه المنظومة لا تكمن في كثرة الضوابط، وإنما في السؤال الأعمق: ما حدود السلطة التي تمنحها هذه الضوابط للجهات الحكومية؟
ذلك أن الخوف من الخطر السيبراني قد يغري بعض الإدارات بتوسيع سلطتها الرقمية، وهذه طبيعة مألوفة في تاريخ الدول؛ فعندما يظهر خطر جديد، تتسع في العادة مساحة السلطة الممنوحة لمواجهته، غير أن دولة القانون الحديثة لدينا لا تكتفي بالسؤال: هل السلطة قادرة على مواجهة الخطر؟ بل تضيف إليه سؤالاً آخر أكثر أهمية: هل مارست هذه السلطة في حدود القانون؟
فالغاية المشروعة لا تكفي وحدها لتبرير كل وسيلة. وحماية الأمن الوطني غاية عليا، لكن سمو الغاية لا يعني سقوط مبدأ المشروعية. وحماية الأنظمة الحكومية ضرورة، لكن الضرورة لا تمنح الإدارة سلطة مطلقة في الوصول إلى كل معلومة، أو مراقبة كل مستخدم، أو الاحتفاظ بكل سجل إلى أجل غير معلوم.
وهنا تظهر واحدة من أكثر القضايا حساسية في الدولة الرقمية الحديثة في بلادنا الغالية: التوازن بين الأمن والخصوصية، فالبيانات أصبحت اليوم من أهم موارد الدولة، لكنها في الوقت ذاته قد تكون من أكثر الأشياء اتصالاً بالحياة الخاصة للأفراد. وقد تعرف الدولة الرقمية عن المواطن ما لم تكن الدولة الورقية قادرة على معرفته: حركته، ومعاملاته، وسجله، وطلباته، وتفاعله مع الخدمات، وربما تفاصيل شديدة الحساسية عن حياته، ومن هنا فإن مجرد قدرة الجهة الحكومية أو الخاصة على الوصول إلى البيانات لا يعني بالضرورة أنها تملك الحق في الوصول إليها، وكون النظام يستطيع تخزين المعلومات لا يعني أن الاحتفاظ بها إلى ما لا نهاية يصبح مشروعاً، وكون الإدارة قادرة على تحليل البيانات لا يعني أن كل تحليل يدخل تلقائياً في نطاق سلطتها. وهذا هو الفارق بين الدولة الرقمية والدولة الرقمية المنضبطة بالقانون، الأولى تمتلك التقنية، أما الثانية فتمتلك التقنية وتعرف حدود استخدامها.
ولذلك فإن حماية الخصوصية ليست نقيضاً للأمن السيبراني، وإنما هي جزء منه. فالنظام الذي يحمي الشبكة لكنه يسمح بإساءة استخدام البيانات لا يمكن وصفه بأنه نظام أمني مكتمل. والأمن الحقيقي لا يحمي الدولة من الخارج فقط، وإنما يحمي الفرد أيضاً من إساءة استعمال السلطة الرقمية من الداخل، وهنا تظهر ضرورة مبدأ التناسب، فكل إجراء أمني ينبغي أن يكون مناسباً لتحقيق الغرض المشروع، وضرورياً له، وألا يتجاوز القدر اللازم لتحقيقه. وهذه ليست فلسفة نظرية بعيدة عن الإدارة، وإنما قاعدة أساسية لضبط السلطة عندما تتسع أدواتها، فإذا كانت الإدارة تستطيع الوصول إلى مئة معلومة لكي تحقق غرضاً يمكن تحقيقه بعشر معلومات، فإن السؤال القانوني ليس: هل تستطيع الوصول إلى المئة؟ بل: هل تحتاج إليها؟ وهل يسمح النظام بذلك؟ وهنا يتحول الأمن السيبراني من تقنية للحماية إلى فلسفة في ممارسة السلطة.
وهذا هو الموضع الذي تبدأ عنده المسألة في اكتساب بعدها الأكثر تعقيداً؛ لأن الحديث عن حماية الأنظمة والبيانات لا يمكن فصله عن الحديث عن المسؤولية عند الإخفاق، ولا عن السؤال الأهم: من يتحمل تبعة الخطأ عندما يكون مصدر الخطر نظاماً رقمياً، أو خللاً تقنياً، أو تقصيراً بشرياً، أو فشلاً مؤسسياً تتوزع أسبابه بين أكثر من جهة؟ فهل يكون المسؤول هو الموظف الذي أخطأ؟ أم المدير الذي لم يتخذ الاحتياطات اللازمة؟ أم إدارة تقنية المعلومات؟ أم الجهة الحكومية ذاتها؟ أم الشركة الخاصة التي أوكل إليها تشغيل النظام؟ وهل يمكن أن يؤدي تعدد الأطراف في البيئة الرقمية إلى تعدد المسؤوليات، أم أن تعددهم قد يتحول، في بعض الحالات، إلى وسيلة تضيع فيها المسؤولية بين الجميع؟
ذلك هو السؤال الذي يقودنا إلى الجزء الثاني من هذا المقال.
فإذا كان الجزء الأول قد حاول أن يقرر أن الأمن الرقمي ليس مسألة تقنية فحسب، بل هو مسألة قانون ومشروعية وحدود سلطة وحقوق، فإن الجزء الثاني سيتناول الوجه الآخر لهذه المعادلة: المسؤولية الإدارية، والرقابة القضائية، وحدود سلطة الإدارة الرقمية، ودور القانون في حماية الإنسان من أن تتحول وسائل الحماية ذاتها إلى سلطة بلا حدود، لأن السؤال في الحكومة الرقمية لم يعد فقط: كيف نحمي الأنظمة؟
بل أصبح أيضاً: من يحمي الحقوق عندما تصبح أدوات الحماية نفسها جزءاً من سلطة الدولة؟ وللحديث بقية في الجزء الثاني ...
هناك، في ذلك الفضاء الصامت، توجد ذاكرة الدولة، وبيانات مواطنيها، وأنظمتها المالية، وسجلاتها العدلية والصحية، ومرافقها الحيوية، ومنصاتها الحكومية، وأسرارها الإدارية، بل وأجزاء متزايدة من قدرتها على اتخاذ القرار وتقديم الخدمة العامة.
ومن هنا تبدو عبارة وزارة الدفاع الإلكترونية التي اقترحها والتي أراها أكثر من مجرد استعارة صحفية؛ إنها تعبير عن تحول عميق في مفهوم السيادة والأمن. فالدولة التي كانت تسأل في الماضي: كيف نحمي إقليمنا؟ أصبحت مطالبة اليوم بأن تسأل سؤالاً أكثر تعقيداً: كيف نحمي المجال الرقمي الذي أصبحت الدولة نفسها تمارس من خلاله سلطتها؟ وهنا تحديداً تبدأ المسألة القانونية، فالأمن السيبراني ليس مسألة تقنية فحسب، كما أن الدولة الرقمية ليست مجرد دولة استبدلت الأوراق بالشاشات، نحن أمام تحول في طبيعة السلطة ذاتها؛ فالقرار الإداري الذي كان يُكتب في ملف أصبح يُولد داخل نظام معلوماتي، والبيانات التي كانت تحفظ في خزائن أصبحت تنتقل بين قواعد بيانات، والخدمة العامة التي كان المواطن يتلقاها من موظف أصبحت تقدمها منصة، وربما خوارزمية، وربما نظام مؤتمت لا يرى المواطن من يقف خلفه.
ومتى انتقلت الإدارة إلى الفضاء الرقمي، انتقلت معها قواعد القانون العام: المشروعية، والاختصاص، والمسؤولية، والشفافية، وحماية الحقوق، والرقابة، والتظلم، والقضاء، ولهذا فإن الخطأ الأكبر الذي يمكن أن نقع فيه هو أن ننظر إلى الأمن السيبراني باعتباره شأناً يخص المهندسين والخبراء التقنيين وحدهم. فالخطر الرقمي قد يبدأ من ثغرة تقنية، لكنه ينتهي في كثير من الأحيان إلى سؤال قانوني: من كان مسؤولاً عن إغلاقها؟ وهل كان يعلم بها؟ وهل اتخذ الاحتياطات المعقولة؟ وهل كان النظام مصمماً وفق الضوابط الواجبة؟ ومن يملك صلاحية الوصول إلى البيانات؟ وهل كان استخدام تلك الصلاحية مشروعاً؟ هذه الأسئلة لا تجيب عنها التقنية وحدها، إنها أسئلة القانون.
ومن هنا يمكن فهم عبارة وزارة الدفاع الإلكترونية التي اقترحتها، باعتبارها مفهوماً وظيفياً لمنظومة أوسع من جهة واحدة؛ منظومة تتكون من التشريع، والجهات التنظيمية، والأجهزة الحكومية، والجهات الأمنية، ومراكز العمليات السيبرانية، والمختصين، والقطاع الخاص، وأخيراً القضاء الذي يمثل صمام الأمان عندما تتقاطع ضرورات الحماية مع حقوق الأفراد.
وفي المملكة العربية السعودية، أصبح الأمن السيبراني جزءاً من البناء المؤسسي للدولة، ولم يعد مجالاً هامشياً تابعاً للتحول التقني، بل أصبح مكوناً من مكونات الأمن الوطني، وحماية المصالح الحيوية، واستمرارية الخدمات الحكومية، وصيانة البنية الرقمية التي تقوم عليها الدولة الحديثة، لكن أهمية هذه المنظومة لا تكمن في كثرة الضوابط، وإنما في السؤال الأعمق: ما حدود السلطة التي تمنحها هذه الضوابط للجهات الحكومية؟
ذلك أن الخوف من الخطر السيبراني قد يغري بعض الإدارات بتوسيع سلطتها الرقمية، وهذه طبيعة مألوفة في تاريخ الدول؛ فعندما يظهر خطر جديد، تتسع في العادة مساحة السلطة الممنوحة لمواجهته، غير أن دولة القانون الحديثة لدينا لا تكتفي بالسؤال: هل السلطة قادرة على مواجهة الخطر؟ بل تضيف إليه سؤالاً آخر أكثر أهمية: هل مارست هذه السلطة في حدود القانون؟
فالغاية المشروعة لا تكفي وحدها لتبرير كل وسيلة. وحماية الأمن الوطني غاية عليا، لكن سمو الغاية لا يعني سقوط مبدأ المشروعية. وحماية الأنظمة الحكومية ضرورة، لكن الضرورة لا تمنح الإدارة سلطة مطلقة في الوصول إلى كل معلومة، أو مراقبة كل مستخدم، أو الاحتفاظ بكل سجل إلى أجل غير معلوم.
وهنا تظهر واحدة من أكثر القضايا حساسية في الدولة الرقمية الحديثة في بلادنا الغالية: التوازن بين الأمن والخصوصية، فالبيانات أصبحت اليوم من أهم موارد الدولة، لكنها في الوقت ذاته قد تكون من أكثر الأشياء اتصالاً بالحياة الخاصة للأفراد. وقد تعرف الدولة الرقمية عن المواطن ما لم تكن الدولة الورقية قادرة على معرفته: حركته، ومعاملاته، وسجله، وطلباته، وتفاعله مع الخدمات، وربما تفاصيل شديدة الحساسية عن حياته، ومن هنا فإن مجرد قدرة الجهة الحكومية أو الخاصة على الوصول إلى البيانات لا يعني بالضرورة أنها تملك الحق في الوصول إليها، وكون النظام يستطيع تخزين المعلومات لا يعني أن الاحتفاظ بها إلى ما لا نهاية يصبح مشروعاً، وكون الإدارة قادرة على تحليل البيانات لا يعني أن كل تحليل يدخل تلقائياً في نطاق سلطتها. وهذا هو الفارق بين الدولة الرقمية والدولة الرقمية المنضبطة بالقانون، الأولى تمتلك التقنية، أما الثانية فتمتلك التقنية وتعرف حدود استخدامها.
ولذلك فإن حماية الخصوصية ليست نقيضاً للأمن السيبراني، وإنما هي جزء منه. فالنظام الذي يحمي الشبكة لكنه يسمح بإساءة استخدام البيانات لا يمكن وصفه بأنه نظام أمني مكتمل. والأمن الحقيقي لا يحمي الدولة من الخارج فقط، وإنما يحمي الفرد أيضاً من إساءة استعمال السلطة الرقمية من الداخل، وهنا تظهر ضرورة مبدأ التناسب، فكل إجراء أمني ينبغي أن يكون مناسباً لتحقيق الغرض المشروع، وضرورياً له، وألا يتجاوز القدر اللازم لتحقيقه. وهذه ليست فلسفة نظرية بعيدة عن الإدارة، وإنما قاعدة أساسية لضبط السلطة عندما تتسع أدواتها، فإذا كانت الإدارة تستطيع الوصول إلى مئة معلومة لكي تحقق غرضاً يمكن تحقيقه بعشر معلومات، فإن السؤال القانوني ليس: هل تستطيع الوصول إلى المئة؟ بل: هل تحتاج إليها؟ وهل يسمح النظام بذلك؟ وهنا يتحول الأمن السيبراني من تقنية للحماية إلى فلسفة في ممارسة السلطة.
وهذا هو الموضع الذي تبدأ عنده المسألة في اكتساب بعدها الأكثر تعقيداً؛ لأن الحديث عن حماية الأنظمة والبيانات لا يمكن فصله عن الحديث عن المسؤولية عند الإخفاق، ولا عن السؤال الأهم: من يتحمل تبعة الخطأ عندما يكون مصدر الخطر نظاماً رقمياً، أو خللاً تقنياً، أو تقصيراً بشرياً، أو فشلاً مؤسسياً تتوزع أسبابه بين أكثر من جهة؟ فهل يكون المسؤول هو الموظف الذي أخطأ؟ أم المدير الذي لم يتخذ الاحتياطات اللازمة؟ أم إدارة تقنية المعلومات؟ أم الجهة الحكومية ذاتها؟ أم الشركة الخاصة التي أوكل إليها تشغيل النظام؟ وهل يمكن أن يؤدي تعدد الأطراف في البيئة الرقمية إلى تعدد المسؤوليات، أم أن تعددهم قد يتحول، في بعض الحالات، إلى وسيلة تضيع فيها المسؤولية بين الجميع؟
ذلك هو السؤال الذي يقودنا إلى الجزء الثاني من هذا المقال.
فإذا كان الجزء الأول قد حاول أن يقرر أن الأمن الرقمي ليس مسألة تقنية فحسب، بل هو مسألة قانون ومشروعية وحدود سلطة وحقوق، فإن الجزء الثاني سيتناول الوجه الآخر لهذه المعادلة: المسؤولية الإدارية، والرقابة القضائية، وحدود سلطة الإدارة الرقمية، ودور القانون في حماية الإنسان من أن تتحول وسائل الحماية ذاتها إلى سلطة بلا حدود، لأن السؤال في الحكومة الرقمية لم يعد فقط: كيف نحمي الأنظمة؟
بل أصبح أيضاً: من يحمي الحقوق عندما تصبح أدوات الحماية نفسها جزءاً من سلطة الدولة؟ وللحديث بقية في الجزء الثاني ...
