القانون 05-20 المتعلق بالأمن السيبراني في المغرب: الالتزامات والكفاءات

صدر القانون رقم 05-20 المتعلق بالأمن السيبراني في يوليوز 2020، وهو أول نص تشريعي مغربي مخصص تحديدًا لأمن نظم المعلومات. قبله، كانت معظم القواعد تستند إلى نصوص تنظيمية وإلى مرجعيات مثل التوجيه الوطني DNSSI. أما اليوم فقد منح القانون هذه المتطلبات أساسًا تشريعيًا، وحدد الجهات الملزمة بتطبيقها، وأسند إلى سلطة وطنية صلاحية مراقبة احترامها.

وقد استُكمل القانون بمرسوم تطبيقي (المرسوم رقم 2-21-406 الصادر سنة 2021) يحدد كيفيات التطبيق بالنسبة لمختلف فئات الهيئات، إضافة إلى قرارات ومرجعيات تصدرها السلطة الوطنية. لذلك ينبغي عمليًا قراءة القانون إلى جانب مرسومه والوثائق التقنية الصادرة عن DGSSI، فهذه المجموعة هي التي تحدد ما يتعين على المؤسسة إرساؤه فعليًا.

وفكرة النص واضحة: لم يعد الأمن السيبراني شأنًا تقنيًا محضًا يُترك لتقدير كل مديرية لنظم المعلومات، بل أصبح التزامًا في مجال الحكامة، بمسؤوليات محددة، وتدابير دنيا، ومراقبة، وعقوبات في حالة الإخلال.

المديرية العامة لأمن نظم المعلومات (DGSSI)، التابعة لإدارة الدفاع الوطني، هي السلطة الوطنية للأمن السيبراني المشار إليها في القانون. تتولى إعداد المرجعيات، ومواكبة الهيئات المعنية، وتأهيل بعض مقدمي الخدمات (مثل مقدمي خدمات افتحاص الأمن)، ومراقبة تطبيق الالتزامات.

أما maCERT، مركز اليقظة والرصد والتصدي للهجمات المعلوماتية، فيوجد داخل DGSSI. وهو المخاطَب العملي عند وقوع حادث: ينشر نشرات تنبيه بشأن الثغرات، ويتلقى التصريحات بالحوادث، ويمكنه دعم المؤسسات المتضررة. وتُعد متابعة نشراته جزءًا من الممارسات الأساسية لأي فريق أمن في المغرب.

لا يُطبَّق القانون بالطريقة نفسها على جميع مقاولات البلاد، بل يستهدف أساسًا القطاع العام والجهات التي قد يكون لتعطلها أثر كبير على الوطن. ويختلف مستوى المتطلبات حسب الفئة، إذ تتحمل البنيات التحتية ذات الأهمية الحيوية أثقل الالتزامات.

أما المقاولات الخاصة التي لا تندرج ضمن أي من هذه الفئات فليست خاضعة للقانون مباشرة، لكنها كثيرًا ما تتأثر به بشكل غير مباشر بصفتها مزودًا أو مناولًا لهيئة خاضعة تفرض عليها متطلبات أمنية تعاقدية. ولمعرفة ما إذا كانت مؤسستك معنية بدقة، يجب الرجوع إلى نص القانون ومرسومه، والاستفسار لدى DGSSI عند الحاجة.

تنقسم الالتزامات إلى ثلاث مجموعات: الحكامة (من المسؤول ووفق أي سياسة)، وتدبير المخاطر والتدابير التقنية، والعلاقة مع السلطة الوطنية (التصريحات والافتحاصات والمراقبة). وتُضاف إلى ذلك متطلبات معززة بالنسبة للبنيات التحتية ذات الأهمية الحيوية، مثل المصادقة على النظم الحساسة قبل تشغيلها، وقواعد تتعلق بإيواء معطياتها الحساسة.

وينص القانون على عقوبات في حالة الإخلال. وبما أن مبالغها وشروطها تختلف حسب طبيعة المخالفة وفئة الهيئة، يُستحسن الرجوع مباشرة إلى نص القانون بدل الاعتماد على أرقام متداولة دون مصدر.

التوجيه الوطني لأمن نظم المعلومات (DNSSI)، الذي نشرته DGSSI سنة 2013، هو المرجع الأساسي لتدابير الأمن بالنسبة للإدارات والبنيات التحتية ذات الأهمية الحيوية. وهو مستوحى إلى حد كبير من معيار ISO/IEC 27002، ويشمل تنظيم الأمن، وتدبير الأصول، والأمن المادي، ومراقبة الولوج، والاستغلال، وتدبير الحوادث، واستمرارية النشاط. لذلك فإن المؤسسة التي أرست نظامًا لإدارة أمن المعلومات وفق ISO 27001 تملك قاعدة متينة لإثبات مطابقتها للتوجيه DNSSI.

أما القانون 09-08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي، فيرمي إلى هدف آخر هو حماية حقوق الأشخاص. وتسهر على مراقبته اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP)، ويُطبَّق على كل مؤسسة عامة أو خاصة تعالج معطيات شخصية، إذ يفرض بالخصوص إجراءات لدى CNDP وواجب تأمين المعطيات المعالَجة.

والنظامان متكاملان: فتسرب واحد للمعطيات قد يشكل حادثًا يجب التصريح به بموجب القانون 05-20، وفي الوقت نفسه إخلالًا بأمن المعطيات الشخصية في إطار القانون 09-08. ومن هنا أهمية حكامة موحدة يعمل فيها مسؤول أمن نظم المعلومات ومسؤول الامتثال لحماية المعطيات بالسجلات نفسها، وتحليل المخاطر نفسه، ومسطرة تدبير الحوادث نفسها.

الامتثال للقانون 05-20 هو أولًا ورش تنظيمي، لكنه يتطلب أيضًا كفاءات تقنية لرصد الحوادث ومعالجتها. وقليلة هي المؤسسات التي تتوفر على جميع هذه الملفات داخليًا، لذا يبقى تطوير كفاءات الفرق الحالية غالبًا الخيار الأكثر واقعية.

يقوم النهج العملي على التحقق أولًا مما إذا كانت مؤسستك خاضعة للقانون وضمن أي فئة، ثم إجراء تشخيص للوضع مقارنة بالتوجيه DNSSI، وتعيين مسؤول عن الأمن، وصياغة مسطرة التصريح بالحوادث، وأخيرًا برمجة الافتحاصات. وكل خطوة من هذه الخطوات تعتمد على أشخاص مكوَّنين.

تقترح GATech في المغرب تكوينات تُعِدّ للشهادات المذكورة، مع الامتحان الرسمي: ISO 27001 Lead Implementer ابتداءً من 17900 درهم (5 أيام)، وCISM ابتداءً من 19900 درهم (4 أيام)، وCISSP ابتداءً من 23900 درهم (5 أيام)، وCND v3 ابتداءً من 15900 درهم (5 أيام)، وCySA+‎ ابتداءً من 12900 درهم (5 أيام)، حضوريًا أو عن بُعد.

يُقدَّم هذا الدليل لأغراض إخبارية عامة ولا يُعد استشارة قانونية. ولتحليل وضعيتك الخاصة، يُرجى الرجوع إلى النصوص الرسمية أو إلى DGSSI أو إلى مستشار قانوني متخصص.