الأمن السيبراني كطبقة تمكينية لحوكمة الذكاء الاصطناعي في فلسطين

الأمن السيبراني كطبقة تمكينية لحوكمة الذكاء الاصطناعي في فلسطين

آخر تحقق: 10 سبتمبر 2026

صدر قرار بقانون رقم 8 لسنة 2026 بشأن الهيئة الوطنية للأمن السيبراني في 29 مارس 2026، وبدأ سريانه في 26 أبريل 2026.

يمثل القانون تحولًا مؤسسيًا مهمًا في البيئة الوطنية للأمن السيبراني، وله أثر مباشر على كيفية قراءة مخاطر أنظمة الذكاء الاصطناعي داخل الحكومة والقطاعات والبنى الرقمية المشمولة.

1. ما وظيفة القانون؟

ينظم القانون الهيئة الوطنية للأمن السيبراني ويمنحها اختصاصات مرتبطة ببناء وإدارة منظومة الأمن السيبراني الوطني، بما يشمل الاستراتيجية والسياسات والمعايير والضوابط وإدارة المخاطر والاستجابة للحوادث ومراقبة التهديدات والبنية السيبرانية ومراكز العمليات والتعاون وحماية الأنظمة والبيانات الحساسة.

2. لماذا يهم AI؟

نظام AI الحديث ليس «نموذجًا» فقط.

غالبًا يتكون من:

Model + Data + API + Identity + Cloud + Applications + Vendor + Logs + Tools

أي ضعف في أحد هذه العناصر قد يتحول إلى حادث أمني أو تشغيلي.

3. AI كجزء من السطح الهجومي

قد تظهر مخاطر مثل prompt injection، وتسرب البيانات، وإساءة استخدام الأدوات، وسرقة credentials، وpoisoning، ومخاطر سلسلة التوريد، واختراق APIs، وتسرب logs، وإساءة استخدام الصلاحيات.

[ممارسة تنفيذية] يجب أن يدخل نظام AI في asset inventory وليس أن يبقى مشروعًا منفصلًا لدى فريق الابتكار.

4. البيانات الحساسة

القانون يولي أهمية للبيانات والأنظمة ذات الحساسية والأهمية للأمن الوطني.

[ممارسة تنفيذية] قبل إدخال بيانات حساسة إلى خدمة AI يجب تحديد التصنيف وموقع التخزين والمعالجة والمورد والتشفير والصلاحيات والاحتفاظ والنسخ الاحتياطية والمعالجين الفرعيين.

وفي الحالات الخاضعة لمتطلبات خاصة، يجب التأكد من أي موافقات أو قيود نظامية واجبة.

5. الإبلاغ والاستجابة للحوادث

حوادث AI قد لا تبدو كحادث سيبراني تقليدي. من أمثلتها تسرب prompts، وإخراج معلومات غير مخولة، وإساءة استخدام agent لصلاحية تنفيذ، وكشف بيانات RAG، أو compromise لمزود النموذج.

[ممارسة تنفيذية] يجب أن تحدد خطة الاستجابة: ما الذي يعد حادثًا، ومن يكتشف، ومن يصعّد، ومن يعزل النظام، ومن يتواصل مع المورد، ومتى يتم الإبلاغ، وكيف تحفظ الأدلة.

6. الموردون

الاعتماد على طرف ثالث لا ينقل المخاطر خارج المؤسسة.

[ممارسة تنفيذية] راجع أمن المورد وسجل الحوادث والمقاولين الفرعيين وإدارة التغيير والإفصاح عن الثغرات والتسجيل الأمني والاستمرارية وخطة الخروج.

7. السحابة

AI غالبًا يعتمد على cloud، وهذا يخلق طبقات من tenant وIAM وAPI keys وmodel endpoints ومواقع معالجة وأدوات خارجية.

[ممارسة تنفيذية] راجع architecture كاملة بدل الاكتفاء بشهادة أمنية للمورد.

8. الاستمرارية والمرونة

إذا تعطلت خدمة النموذج، هل تتوقف الخدمة العامة؟

[ممارسة تنفيذية] يجب تحديد RTO/RPO، والـfallback، وإمكانية التشغيل اليدوي، والـsingle point of failure، وقابلية نقل الخدمة، واسترجاع البيانات، والبدائل.

9. الصلاحيات وAI Agents

كلما زادت استقلالية النظام، زادت أهمية least privilege.

[ممارسة تنفيذية] Agent يستطيع القراءة أو التنفيذ يجب أن يملك أقل صلاحية ممكنة، ونطاقًا واضحًا، وموافقات، وتسجيلًا، وحدودًا، وkill switch.

10. العلاقة بالخصوصية

الأمن السيبراني والخصوصية يتقاطعان، لكنهما ليسا الشيء نفسه.

قد تكون قاعدة البيانات مشفرة وآمنة، لكن استخدامها لغرض غير مسموح أو غير متناسب قد يبقى مشكلة خصوصية أو قانونية.

لذلك:

Security controls ≠ Lawful processing

11. العلاقة بالحوكمة

القانون يجعل الأمن السيبراني طبقة إلزامية أو مؤثرة في كثير من سياقات AI حتى دون وجود AI Act.

وهذا مثال على التنظيم الوظيفي: النظام لا ينظم التقنية كاسم، لكنه ينظم وظيفة أو خطرًا يقع ضمنها.

12. متطلبات عملية لسجل AI

[ممارسة تنفيذية] أضف إلى سجل AI: criticality، وتصنيف البيانات، والاستضافة، ومزود النموذج، واعتماديات API، والصلاحيات، ومالك الحادث، وتاريخ الاختبار الأمني، والثغرات المعروفة، والـfallback، وخطة الخروج.

13. الاختبار الأمني

لا يقتصر على penetration testing التقليدي. يمكن أن يشمل prompt injection، وتسرب البيانات، وتصعيد الصلاحيات، وإساءة استخدام الأدوات، ومدخلات خصمية، واختبار التحكم بالوصول.

14. ما الذي لا يعنيه القانون؟

لا يعني وجود AI Act، ولا أن الهيئة هي AI regulator شامل، ولا أنها سلطة حماية بيانات عامة، ولا أن الأمن وحده يكفي للحوكمة.

15. ماذا يجب مراقبته؟

يجب مراقبة اللوائح والتعليمات والضوابط التنفيذية، وتصنيفات البنى والبيانات، ومتطلبات الإبلاغ، ومتطلبات مقدمي الخدمات، وأي إرشادات قطاعية أو ضوابط صريحة للAI أو السحابة أو الموردين.

الخلاصة

قانون 8/2026 يضيف طبقة مهمة للحوكمة الوطنية.

والقاعدة العملية للذكاء الاصطناعي هي:

إذا كان AI جزءًا من الخدمة الرقمية، فهو جزء من نموذج التهديد وإدارة المخاطر والاستجابة للحوادث أيضًا.