حين احتاجت الدولة إلى سفارة لا يسكنها سفير

ما الذي نجا من حريق الدمام؟

في الثاني من سبتمبر 2018، اشتعل الحريق في مبنى فرع النيابة العامة بالدمام. تصاعد الدخان من الطوابق العليا، واستُدعيت فرق الإطفاء، ثم أعلنت النيابة عبارة أهم من وصف النار: لم تُفقد أي معاملة، لأن مرفقات القضايا كانت محفوظة في نظام إلكتروني مركزي ذي نسخ احتياطي تلقائي. واستؤنف العمل في اليوم التالي. ¹

ما نجا لم يكن أثاثًا أو محتوى خزانة. الذي نجا هو قدرة مؤسسة قضائية على استعادة الصلة بين واقعة وملف، وبين إنسان وحق، وبين إجراء وتاريخ. لم يطفئ النظام الحريق، لكنه منع الضرر المادي من أن يصبح محوًا تلقائيًا لذاكرة المؤسسة.

ومن هذا الفارق الصغير يخرج سؤال استراتيجي كبير: ماذا لو لم يكن الخطر حريق مبنى واحد؟ ماذا لو أصاب المنشأة الأساسية وموقعها الاحتياطي سبب مشترك، أو انقطعت الطاقة والاتصالات، أو بقيت البيانات سليمة بينما ضاعت المفاتيح والبرمجيات والصلاحيات اللازمة لاستعمالها؟

هذه ليست مسألة شراء مساحة تخزين إضافية. إنها مسألة بقاء الدولة قادرة على إثبات الحقوق وتشغيل وظائفها حين تصبح الجغرافيا نفسها موضع اختبار. والفرق بين حفظ الملف واستمرار المؤسسة يشبه الفرق بين امتلاك نسخة من دستور والقدرة على ممارسة حكم دستوري.

سفارة بلا تأشيرات

في أبريل 2007، واجهت إستونيا موجة هجمات إلكترونية عطلت مواقع وخدمات في دولة اختارت مبكرًا الإدارة الرقمية. وبعد عقد، وقعت إستونيا ولوكسمبورغ في 20 يونيو 2017 اتفاقًا لاستضافة بيانات وأنظمة معلومات حكومية. من هذا الترتيب خرج مصطلح سفارة البيانات (Data Embassy): بنية حوسبية وأرشيف وأنظمة واتصالات تُحمى باتفاق يتجاوز عقد الاستضافة التجاري. ^{2 3}

منح الاتفاق موقع الاستضافة وضعًا قانونيًا مخصوصًا: حرمة من التفتيش والحجز والتنفيذ، ودخولًا مشروطًا بالموافقة المسبقة للممثل الإستوني. ولا تُفترض الموافقة عند الحريق أو الطوارئ إلا إذا تطلبت حماية فورية وكان الخطر متعلقًا بالسلامة. كما عاملت المادة السادسة البيانات والأنظمة بوصفها أرشيفًا إستونيًا، وحمت الاتصالات الرسمية وأجازت الشفرة والتشفير ومنحتها أولوية في بعض حالات القوة القاهرة. ³

لكن الخوادم لم تصبح إقليمًا إستونيًا، واتفاقية فيينا لم تمنح مركز البيانات هذه الصفة تلقائيًا. تقول ديباجة الاتفاق إن إطار اتفاقية فيينا غير كافٍ لهذا الغرض؛ ولهذا أنشأ الطرفان الحماية باتفاق ثنائي. ويظل القانون الدولي وقانون الاتحاد الأوروبي وقانون لوكسمبورغ، حيث ينطبق، جزءًا من الإطار. السفارة هنا وضع قانوني محدد، لا قطعة أرض انتقلت سيادتها على الخريطة. ³

حتى يوم الخلاف لم يُترك لحسن النيات. ينظم الاتفاق التحكيم والإنهاء، ويجعل الإنهاء نافذًا بعد أربعة وعشرين شهرًا من الإخطار. وعندئذ تُسلّم الأصول إلى الممثل الإستوني المأذون؛ وإذا تعذر تحديده، تُحمى بمستوى أرشيف لوكسمبورغ ولا تُسلّم إلا إلى ممثل قانوني لإستونيا. الدول الجادة تكتب مسبقًا ما سيحدث يوم تتغير الظروف. ³

حين أدارت الحكومة دولتها من المنفى

في يونيو 1940، وصلت الحكومة النرويجية والملك هاكون السابع إلى بريطانيا بعد الاجتياح الألماني. ومن لندن عملت منظومة حكومية ومدنية وعسكرية نرويجية طوال الاحتلال، وخلفت مؤسساتها آلاف الأمتار من الوثائق. لا تقول القصة إن الملفات صنعت شرعية الحكومة؛ فالشرعية جاءت من وضع دستوري وسياسي وتاريخي مخصوص. لكنها تذكرنا بأن بقاء الدولة مؤسسيًا لا يتطابق دائمًا مع قدرتها على استخدام عاصمتها ومبانيها المعتادة. ⁴

كان سؤال القرن العشرين: كيف ننقل الحكومة ووثائقها واتصالاتها إلى ملاذ آمن؟ ويضيف القرن الحادي والعشرون سؤالًا أدق: كيف ننقل القدرة على التحقق من السجل والهوية والتوقيع والصلاحية إلى بيئة تشغيل مستقلة؟

هنا يظهر الفرق بين التعافي من الكوارث (Disaster Recovery) واستمرارية الحكومة (Continuity of Government). قد تُستعاد قاعدة البيانات بعد أسبوع ويعلن الفريق نجاح الاسترداد، لكن الأسبوع الذي تعطلت فيه شهادة وفاة أو مستند ملكية أو استحقاق مالي لا يعود بمجرد ظهور كلمة النجاح على شاشة المهندس. هناك وقت تقني لعودة الخدمة، ووقت اجتماعي لا يعود.

صاروخ كييف والنسخة التي لم تمت

في الأول من مارس 2022، خلال الأيام الأولى للغزو الروسي الشامل لأوكرانيا، أصاب صاروخ مركزًا وطنيًا للنسخ الاحتياطي في وسط كييف. ووفق إفادة رسمية أوكرانية نُشرت في سبتمبر من العام نفسه، لم يتوقف سجل أساسي أو خدمة حكومية حرجة نتيجة تلك الضربة. ⁵

كانت الحكومة قد أتاحت التخزين المؤقت خارج البلاد، وقالت إن ستًا وثلاثين جهة نقلت خلال الأسابيع الأولى للحرب أكثر من ستين سجلًا ونظامًا حرجًا إلى موارد سحابية وفرتها أمازون. لا تعني هذه الإفادة أن الدولة الأوكرانية انتقلت كاملة إلى سحابة أمريكية، ولا أن كل خدمة بقيت متاحة في كل مدينة. إنها تقدم مثالًا رسميًا محددًا: ضُرب موقع مادي لنسخ السجلات، وقالت الحكومة إن السجلات الأساسية والخدمات الحرجة لم تتوقف بسبب الضربة. وهي إفادة زمن حرب، لا تدقيق توافر مستقلًا لكل نظام. ⁵

العبرة ليست في وجود النسخة وحدها، بل في وجود طريق مختبر لاستعمالها. النسخة التي لا ترافقها إجراءات استعادة، وبيئة تشغيل، وصلاحيات تحقق، واتصال قابل للاستخدام، طمأنينة محفوظة في مكان بعيد أكثر منها قدرة عملية.

عندما يصبح إثبات الحق ضحية ثانية

تقدم كشمير درسًا أصغر حجمًا وأشد اتصالًا بحياة الأفراد. سجل حكم قضائي صدر في 13 أبريل 2022 أن فيضانات سبتمبر 2014 أغرقت مقار جهات حكومية في سريناغار، وأن أوراق طعن يعود إلى 1981 لم يُعثر عليها بسبب ما أصاب السجلات. لم يكن الحكم تقريرًا عن انهيار كل الأرشيف القضائي؛ كان نزاعًا محددًا كشف كيف تعقّد الكارثة إثبات واقعة قانونية مضى عليها عقود. ⁶

وفي سوريا، حذرت هيومن رايتس ووتش عام 2018 من أن تدمير سجلات عقارية محلية، والنزوح، وفقد المستندات، وتعقيد إجراءات القانون رقم 10 قد تجعل أصحاب الحقوق عاجزين عن إثبات ملكياتهم أو المطالبة بها. السجل هنا ليس جدولًا في قاعدة بيانات؛ إنه ذاكرة قانونية مشتركة، وتعطل التحقق منه يضعف الحق أمام منازعته. ⁷

أما السودان فيقدم وجهًا ثالثًا. وصفت الشرق الأوسط في يونيو 2026 أضرارًا جسيمة لحقت بمبنى دار الوثائق القومية في الخرطوم، التي تضم أكثر من ثلاثين مليون وثيقة. ونقلت عن مديرة الدار أن معظم المواد الورقية نجا من الحرائق، فيما فُقد الأرشيف الإلكتروني وبقيت الوثائق في مبنى يهددها التلف. قد تنجو الورقة من القصف ثم تخسرها الرطوبة، وقد تبدو الذاكرة الرقمية حديثة حتى تنهار المنشأة التي تحملها. ⁸

وفي فبراير 2024، قطعت أعطال واسعة في شبكات الهاتف والإنترنت الاتصال عن ملايين السودانيين وأعاقت التواصل والمساعدات والخدمات المالية. يمكن أن تكون قاعدة البيانات سليمة في الخارج، وأن يعجز المواطن عن بلوغها بسبب انقطاع الاتصال أو الطاقة أو الهوية الرقمية. حفظ البيانات شرط، لكنه ليس مرادفًا لاستمرار الخدمة. ⁹

من حلب إلى سفالبارد: كيف نحفظ القدرة لا النسخة؟

في جبل داخل أرخبيل سفالبارد النرويجي، يحتفظ المستودع العالمي للبذور بنسخ احتياطية من التنوع الوراثي الذي تودعه بنوك الجينات. وكان المركز الدولي للبحوث الزراعية في المناطق الجافة يحتفظ في حلب بعينات نفيسة من المحاصيل. ومع الحرب السورية تعذر استمرار بنك الجينات على النحو المعتاد.

لكن المؤسسة كانت قد أودعت في سفالبارد، بين 2008 و2014، أكثر من 116 ألف عينة مكررة. وفي سبتمبر 2015 استخرجت 38,073 عينة ونقلتها إلى لبنان والمغرب. وبعد الزراعة والإكثار، أعادت في دفعتين خلال 2017 إيداع أكثر من عشرين ألف عينة مجددة. لم تُدمر مجموعة حلب كلها؛ الذي تعذر هو استمرار التشغيل والتوزيع المعتادين، فساعدت النسخ السابقة على بناء مجموعتين نشطتين في لبنان والمغرب. ¹⁰

لم تكن وظيفة سفالبارد أن تبقي البذور في الثلج إلى الأبد. كانت أن تحفظ القدرة على زراعتها من جديد: انتقال من الحفظ (Preservation) إلى إعادة الإنتاج (Regeneration). وهذه هي المسافة بين مركز يحتفظ بملفات وزارة ومنظومة تعيد تشغيل وظيفتها. بيانات المرضى لا تصبح خدمة صحية بمجرد نسخها، وسجل الضرائب لا يصبح مصلحة عاملة من دون البرمجيات والهويات والشهادات والاتصالات والإجراءات المخولة.

حين تسعّر الأسواق احتمال التوقف

السعودية ليست بعيدة عن المخاطر المركبة. في 2012 أصاب هجوم ببرمجية عُرفت باسم شمعون نحو ثلاثين ألف محطة عمل في أرامكو، وفي سبتمبر 2019 أدت هجمات بقيق وخريص إلى توقف مؤقت في إنتاج نحو 5.7 ملايين برميل يوميًا وفق إعلان الشركة. ^{11 12}

وفي 2026 دخل الخليج دورة تصعيد عسكري جديدة. أحصى تحقيق مصور لرويترز، نشر في 15 أكتوبر، ما لا يقل عن 135 هجومًا بالصواريخ والمسيّرات على 84 موقعًا على الأقل من مواقع البنية التحتية في دول الخليج منذ 28 فبراير، وميز بين عمليات إيرانية مباشرة وأخرى نفذتها جماعات حليفة لإيران. كما وثق تضرر محطات ضخ على مسار خط الأنابيب السعودي شرق غرب. ¹³

وفي سياق هجمات أعلن الحوثيون مسؤوليتهم عنها، تعرض مبنى إداري لأرامكو في الظهران لضربة في 13 أكتوبر، وأعلنت وزارة الطاقة حريقًا محدودًا. وفي اليوم التالي تراجع المؤشر السعودي 1.7 في المئة وسهم أرامكو 1.6 في المئة. لا يجوز رد حركة سوق كاملة إلى خبر واحد، ولا تحويل إعلان المسؤولية إلى تحقيق فني مستقل. لكن تقرير الإغلاق يوضح أن التصعيد عمق القلق إلى جانب ضغط أسهم البنوك وعوامل إقليمية أخرى. السوق لا تنتظر توقف الخدمات حتى تبدأ تسعير احتمال توقفها. ¹⁴

قد يتحول عطل مكوّن إلى فشل متسلسل (Cascading Failure)، وقد يمتد اقتصاديًا إلى خطر نظامي (Systemic Risk) خارج القطاع الذي تلقى الضربة. لا يوجد دليل يجيز وعدًا بأن سفارات البيانات سترفع مؤشرًا أو تمنع كل هبوط. لكن يمكن قياس أثر الجاهزية في مدة التوقف، وكلفة التعافي، وسرعة عودة الخدمة، وانتقال الصدمة إلى الشركات.

خمسة أوعية للبيض، وثقب واحد في الأرضية

تبدو الحكمة القديمة بديهية: لا تضع البيض كله في سلة واحدة. لكن الأنظمة الحديثة اكتشفت أن السلال قد تكون خمسًا، وأن الأرضية التي تقف عليها واحدة. قد تبني جهة خمسة مراكز في خمس مدن، ثم تجعلها تعتمد على مزود واحد للهوية، ومنظومة مفاتيح واحدة، وواجهة إدارة مشتركة، وفريق صغير يستطيع إيقافها جميعًا.

في هذه الصورة لا نملك خمس منظومات مستقلة؛ نملك خمس نسخ من اعتماد واحد. يشرح تشارلز بيرو، في إطار الحوادث العادية (Normal Accidents)، كيف ينتج الخطر من اجتماع التعقيد بالترابط المحكم (Tight Coupling). وفي هندسة الموثوقية يوصف سقوط حلول متكررة بسبب علة واحدة بأنه الفشل النمطي المشترك (Common-Mode Failure). التنوع، لا عدد النسخ وحده، هو ما يعالج هذا النوع من الخطر. ^{15 16}

لذلك يجب أن يتوزع الخطر بين مناطق جغرافية وولايات قانونية ومصادر طاقة وشبكات اتصال ومزودي تقنية وآليات تحكم مستقلة قدر الإمكان. قد يكون مركزان في قارتين ويعودان إلى لوحة إدارة واحدة، أو تكون كل النسخ سليمة ويجعلها مفتاح واحد مفقود عصية على القراءة. التكرار يزيد النسخ؛ الاستقلال يقلل احتمال موتها بالعلة نفسها.

صورة لا تملكها قطعة واحدة

يمكن للتصور السعودي أن يذهب أبعد من نسخة كاملة قابلة للقراءة في كل موقع. لكنه يحتاج إلى فصل تقنيات تتجاور في العروض التسويقية ولا تؤدي الوظيفة نفسها: التشفير الموثق (Authenticated Encryption) يحمي سرية المحتوى ويكشف العبث؛ وترميز المحو (Erasure Coding) يوزع البيانات المشفرة بحيث يُستعاد الأصل من عدد كافٍ من الأجزاء؛ والتشفير ذو العتبة (Threshold Cryptography) يوزع سلطة المفاتيح أو عملياتها كي لا ينفرد شخص أو موقع بفك التشفير أو التوقيع.

قدم عدي شامير عام 1979 مخطط تقاسم السر لشامير (Shamir’s Secret Sharing): يمكن تقسيم سر رياضي إلى حصص، بحيث تستعيد مجموعة تبلغ العتبة السر، بينما لا تكشف مجموعة دونها معلومة عنه في النموذج الرياضي الصحيح. مثال ثلاث حصص من خمس مفيد للشرح: يمكن فقد حصتين، ولا تكفي حصتان منفردتان. لكنه ليس مواصفة جاهزة؛ يلزمه تنفيذ صحيح على حقل منتهٍ، وحماية للحصص من السرقة والاستبدال، واستقلال إداري وتشغيلي بين الأمناء. ¹⁷

تقسيم المفتاح لا يعني تقسيم المحتوى، والتشفير لا يمنع المضيف من حذف النسخة أو تعطيلها. وقد تستخدم المنظومات المتقدمة الحوسبة متعددة الأطراف (Multi-Party Computation) والتوقيعات ذات العتبة (Threshold Signatures) لإجراء عمليات موزعة من دون تجميع المفتاح كاملًا في كل مرة. لكنها تحتاج إلى بروتوكولات مدققة، ووحدات أمن عتادية (Hardware Security Modules, HSMs)، وتدوير للحصص، وضبط للصلاحيات، وخطة لاستبدال الأمناء.

المطلوب أن يستضيف الموقع جزءًا لا يمنحه سلطة منفردة على المعلومة، وأن يمكن فقده دون موت المنظومة. الصورة في قواعد إعادة التركيب والتفويض، لا في عدد الصناديق. ومفاتيح الاسترداد لا ينبغي أن تصبح رهينة دولة مضيفة أو شركة سحابية أو حساب إداري واحد.

دفتر لا ينسى، لكنه قد يتذكر الخطأ

قد تفيد تقنيات الدفاتر الموزعة في إثبات سلامة السجلات وتسلسل التغييرات، لكنها ليست بديلًا عن التشفير أو توزيع المفاتيح أو استمرارية الخدمة. ولا سبب لوضع بيانات شخصية حساسة في دفتر دائم لمجرد أن كلمة «سلسلة الكتل» تبدو مطمئنة.

تصف شركة Guardtime تقنية البنية التحتية للتوقيع عديم المفاتيح (Keyless Signature Infrastructure, KSI) بخصائص تسمح بالتحقق من وقت التوقيع وسلامة البيانات وترتيبها وبصمة المدخل. ويمكن للبصمات التشفيرية (Cryptographic Hashes) وأشجار ميركل (Merkle Trees) وسجل كاشف للعبث (Tamper-Evident Log) أن تقدم دليلًا على سلامة نسخة منذ توثيقها. لكن هذا وصف لنطاق الدليل، ومصدره مزود التقنية؛ وليس تصديقًا مستقلًا على صدق الواقعة الأصلية. ¹⁸

إذا أُدخل اسم المالك خطأ ثم حُفظ خمسين عامًا بلا تغيير، تكون المنظومة قد صانت الخطأ بإتقان. يجب فصل صحة الإدخال عن سلامة البيانات (Integrity) وعن سلطة من أجاز التعديل. هذه مسائل تقنية وقانونية وإدارية متمايزة. وقد تكون التقنية المناسبة سجل تدقيق محدود الصلاحيات مع براهين مستقلة وسلاسل توقيع واضحة، لا شبكة عامة أو منتجًا مشهورًا يبحث عن مشكلة.

من يأمر بجمع القطع؟

تبقى مسألة لا تحلها الرياضيات: من يملك حق إصدار أمر الاسترداد؟ قد تصل إلى أمناء المفاتيح طلبات متعارضة، وتدعي جهات مختلفة أنها صاحبة الصلاحية القانونية. يمكن أن تكون البيانات سليمة والمفاتيح محمية والخوادم جاهزة، ويظل الخطر في هوية من سيأمر بالتشغيل.

هذه سلطة دستورية (Constitutional Authority)، لا مسألة تشفير. القدرة على فك التشفير لا تمنح شرعية القرار، والمضيف الأجنبي ليس محكمة تفصل في تمثيل الدولة. لذلك يفصل التصميم بين حيازة الحصص والصلاحية القانونية والتفويض التنفيذي والتحقق المستقل، ويحدد الطوارئ والاعتراض والخلافة وسجل القرارات.

توزيع مفاتيح الدولة لا يعني توزيع سيادتها بين شركات وعواصم. تبقى السيادة لدى صاحبها القانوني، فيما تتوزع وسائل صونها وتدقيق استخدامها. ولهذا كانت أحكام التمثيل والتسليم والإنهاء في الاتفاق الإستوني جزءًا من هندسة الاستمرارية، لا حاشية دبلوماسية. ³

الخارج ليس منطقة معفاة من النظام

أي تصور سعودي يجب أن يبدأ من تصنيف البيانات وغرض المعالجة، لا من الدولة المضيفة. تنظم لائحة نقل البيانات الشخصية خارج المملكة النقل بوصفه عملية مشروطة: لا تمس الأمن الوطني أو المصالح الحيوية أو نظامًا آخر، وتلتزم الحد الأدنى اللازم ومستوى الحماية وحقوق أصحاب البيانات. وتضيف تقييم الملاءمة والضمانات المناسبة أو حالات الإعفاء المحددة، وقد تستلزم تقييم مخاطر للنقل الحساس المستمر أو واسع النطاق. ¹⁹

تذكر اللائحة الاتفاق الدولي بوصفه مسارًا محتملًا ضمن توصيات الجهة المختصة بعد تقييم الحماية، لا تفويضًا ذاتيًا ببدء النقل. وكذلك تحدد ضوابط الأمن السيبراني للحوسبة السحابية (Cloud Cybersecurity Controls, CCC) حدًا أدنى للأمن ضمن نطاقها؛ ولا تتحول إلى رخصة عامة لنقل كل البيانات الحكومية إلى الخارج، ولا تلغي نظام حماية البيانات أو التصنيفات والاشتراطات القطاعية. ^{19 20}

قد تنتهي الدراسة إلى إبقاء بعض الوظائف داخل المملكة كاملة، وحفظ فئة صغيرة خارجيًا بوضع قانوني خاص، وتوزيع المفاتيح دون المحتوى في حالات أخرى. ليست كل معلومة مرشحة لسفارة البيانات، ولا كل نسخة مشفرة مباحة لمجرد أن مشغلها لا يقرأها. الوقائع القانونية والهندسية لكل فئة هي التي تحدد المسار.

ما الحد الأدنى الذي ينبغي أن يبقى حيًا؟

ليست السجلات متساوية في علاقتها باستمرار الدولة. هناك أرشيفات تاريخية يمكن أن تنتظر الاستعادة، وخدمات يومية يحتمل توقفها ساعات، ووظائف يصبح تعطلها سريعًا أزمة حقوق أو صحة أو أمن. لذلك لا تبدأ الأولوية من حجم قاعدة البيانات أو شهرة الجهة، بل من أثر غياب الوظيفة في الناس والمؤسسات.

قد يكون الحد الأدنى في سجل عقاري قدرةً على التحقق من آخر حالة معتمدة وإصدار إثبات مؤقت، لا فتح جميع خدمات التعديل. وقد يكون في نظام صحي وصولًا مقيدًا إلى معلومات تنقذ الحياة مع تسجيل كل استخدام، لا تشغيل المنصة الكاملة. وفي المدفوعات الحكومية قد يكون صرف استحقاقات محددة أهم من عودة كل مسارات المحاسبة في اللحظة نفسها. تعريف هذا الحد الأدنى يحول الاستمرارية من شعار شامل إلى التزام يمكن اختباره.

ويختلف تصميم الأرشيف البارد عن تصميم النظام الذي يستقبل معاملات كل دقيقة. الأول يركز على بقاء الدليل وقابلية قراءته بعد زمن طويل؛ والثاني يحتاج اتساقًا بين النسخ، وترتيبًا للمعاملات، وآلية لحسم التعارض عند عودة الاتصال. إذا عاملنا الاثنين بالطريقة نفسها، فقد نفرط في كلفة الأرشيف أو نقبل فقدًا لا يحتمله النظام النشط. لذلك ينبغي أن تربط كل وظيفة بين طبيعة الزمن فيها وطريقة النسخ والاسترداد.

لكن تقليص الوظيفة لا يجوز أن يختصر الضمانات التي تمنع الظلم. التشغيل الطارئ الذي يتجاوز التحقق من الهوية أو يسقط سجل التدقيق قد يعيد الخدمة على حساب الحق. المطلوب وضع تشغيل متدهور منضبط (Controlled Degraded Mode): وظائف أقل، وصلاحيات واضحة، وحدود زمنية، ومراجعة لاحقة، لا باب طوارئ دائمًا خارج النظام.

ومن المفيد أن تُرتب الوظائف وفق ثلاثة أسئلة: ما الضرر الذي يبدأ فورًا عند التعطل؟ ما الذي لا يمكن تعويضه بعد العودة؟ وما أقل مخرَج موثوق يحفظ الحق أو يمنع تفاقم الأزمة؟ الإجابة تقرر ما يدخل سفارة البيانات، وما يحتاج بيئة تشغيل بديلة، وما تكفيه نسخة وطنية مستقلة.

مكان البيانات ليس كل سيادة البيانات

يُختزل النقاش أحيانًا في سؤال واحد: أين يقف الخادم؟ السؤال مهم، لكنه لا يكفي. قد تكون البيانات داخل الحدود وتدير مفاتيحها شركة أجنبية من واجهة لا تسيطر عليها الجهة. وقد تكون نسخة مشفرة في الخارج بينما تبقى المفاتيح والتفويض وسجل التدقيق تحت تحكم وطني موزع. الموقع عنصر من السيادة التشغيلية، وليس العنصر الوحيد.

التحكم الحقيقي يتوزع بين من يستطيع القراءة، ومن يستطيع التعديل، ومن يستطيع الحذف، ومن يستطيع إيقاف الخدمة، ومن يغير البرمجيات، ومن يملك أدلة التدقيق. إذا اجتمعت هذه السلطات لدى حساب إداري واحد، لم تعالج الخريطة الخطر. وإذا فصلت على نحو مبالغ فيه من دون مسار طوارئ قابل للعمل، تحولت الحماية إلى عجز ذاتي.

لهذا ينبغي أن يرافق كل أصل سجل سلطة، لا سجل موقع فقط: الدولة التي يوجد فيها، والقانون الذي يخضع له، والمشغلون القادرون على الوصول، ومكان المفاتيح، ومسار التحديث، والاعتماديات المشتركة، وإجراء الخروج. وعندها يمكن مقارنة موقعين يبدو كلاهما بعيدًا، لكن أحدهما يضيف تنوعًا حقيقيًا والآخر يكرر المورد والقانون وشبكة الاتصال نفسها.

كما يجب اختبار الاستقلال في الفعل. يكفي أحيانًا تحديث خاطئ من منصة إدارة مركزية كي يسقط مواقع متعددة في لحظة واحدة. ويكفي توقف خدمة أسماء أو شهادات أو هوية لم تُدرج في خطة الاسترداد كي تصبح الخوادم السليمة جزرًا صامتة. السيادة القابلة للقياس هي القدرة على الاستمرار مع فقد بعض هذه الخدمات، لا مجرد امتلاك العقد أو الجهاز.

ما الذي ندفع ثمنه قبل الكارثة؟

يبدو التخزين رخيصًا لأن سعره يظهر في فاتورة واضحة. أما الاستمرارية فتكلفتها موزعة بين التدريب، والاختبار، وتحديث البرمجيات، وتدوير المفاتيح، والاتصال البديل، والعقود، والموظفين القادرين على العمل تحت الضغط. ولذلك يسهل أن تشتري المؤسسة نسخًا كثيرة ثم تؤجل الجزء الذي يجعلها نافعة.

المقارنة الاقتصادية الصحيحة لا تضع تكلفة الموقع الخارجي أمام صفر. تضعها أمام تكلفة التوقف وفقد المعاملات وإعادة البناء اليدوي والنزاع القانوني والاعتماد على مورد لا يمكن مغادرته. لكن هذه البنود تحتاج تقديرًا خاصًا بكل وظيفة؛ لا يوجد رقم وطني واحد يحول كل استضافة خارجية إلى استثمار رابح.

ينبغي أيضًا احتساب تكلفة التعقيد. كل مضيف وأمين مفتاح وقناة اتصال واتفاق يضيف قدرة، ويضيف معه سطحًا للعطل وسوء التنسيق. أفضل معمارية ليست الأكثر طبقات، بل الأقل تعقيدًا بين البدائل التي تحقق مستوى الاستمرارية المطلوب وتبقي الخطر المتبقي مقبولًا ومعلنًا.

وتظل بعض المنافع غير مباشرة: سرعة استعادة الترخيص أو الهوية أو الدفعة قد تمنع توقف شركة أو مستشفى، وتحد من انتقال الصدمة إلى أطراف لم يمسها الحادث. هذه فرضية قابلة للقياس بعد بناء خط أساس وتمارين واقعية، وليست وعدًا تسويقيًا ينبغي إدخاله في دراسة الجدوى بوصفه عائدًا مضمونًا.

معمارية سعودية للاستمرارية السيادية

الاستجابة الأفضل ليست نسخ التجربة الإستونية أو افتتاح مشروع سحابي باسم دبلوماسي. المطلوب معمارية للاستمرارية السيادية (Sovereign Continuity): نظام يحفظ قدرة الدولة على أداء وظائف محددة والتحقق من مخرجاتها تحت ضغط متعدد المواقع، مع بقاء القرار القانوني والتحكم التشفيري بيدها.

تبدأ المعمارية بخريطة وظائف واعتماديات. ما السجل الذي تحتاجه الوظيفة؟ ما البرمجيات التي تفسره؟ ما خدمة الهوية التي تسمح بالدخول؟ ما الشهادات التي تثبت التوقيع؟ من يملك التفويض؟ ما الاتصال والطاقة والموظفون والإجراءات اللازمة؟ قد تكون البيانات في ثلاثة مواقع، بينما تبقى خدمة تحقق واحدة في مبنى واحد؛ وعندها يكون النسخ نجاحًا شكليًا.

ثم تُفصل طبقات الحفظ والتشغيل البديل والمفاتيح والهوية والتوقيع والمراقبة. وتُحدد اتفاقات المضيفين وحقوق التدقيق والخروج ونقل الأصول، مع قدرة حقيقية على تغيير المورد. كما يلزم اتصال بديل وتشغيل محدود عند الانقطاع، لأن تجربة السودان بينت أن السجل البعيد لا يخدم مواطنًا لا يستطيع الوصول إليه.

الغاية ليست أكبر بحيرة بيانات (Data Lake) خارج البلاد، بل أصغر مجموعة مكتملة من المقومات التي تبقي وظيفة سيادية مختارة قابلة للعمل. النسخة تكلف تخزينًا؛ الاستمرارية تكلف تدريبًا واختبارًا وعقودًا وصيانة وتحديثًا للمفاتيح والبرمجيات. ينبغي أن يرى صاحب القرار هذه الكلفة مفصولة بوضوح.

وتحتاج المعمارية إلى ذاكرة مؤسسية خاصة بها. إذا عرف تشغيلها مهندسان فقط، أو بقيت إجراءاتها في ملفات لا تُحدث، صار المشروع نفسه نقطة فشل. التدريب المتبادل، وتوثيق القرارات، وتمارين التسليم بين الفرق، وإشراك أصحاب الوظيفة العامة في الاختبار، كلها أجزاء من النظام مثل الخوادم تمامًا. فالاستمرارية التي لا تنجو من تغيير الموظفين لا تستحق وصفها بالسيادية.

اليوم الذي ينبغي أن نفترض فيه سقوط موقعين

لا يقاس النجاح باستعادة ملف في مختبر هادئ. الاختبار المفيد يفترض فقد مركز أساسي، وتعطل اتصال دولي، وغياب حصة مفتاح، وظهور محاولة عبث في نسخة احتياطية في الوقت نفسه. ويسأل: ما أول وظيفة تعود؟ من يأذن؟ هل تعمل هوية الموظف إذا سقط مزودها؟ هل يستطيع المواطن التحقق من وثيقته؟ وما المعاملات الأخيرة التي لم تصل إلى موقع الاسترداد؟

يحدد هدف زمن الاسترداد (Recovery Time Objective, RTO) أقصى مدة يمكن أن يظل فيها مورد النظام غير متاح قبل أثر غير مقبول. ويحدد هدف نقطة الاسترداد (Recovery Point Objective, RPO) النقطة الزمنية التي يمكن الرجوع إليها بعد الانقطاع، أي مقدار فقد البيانات الذي تتحمله المهمة قياسًا إلى أحدث نسخة. قد يحتمل أرشيف تاريخي ساعات؛ وقد لا تحتمل وظيفة صحية أو مالية الزمن أو الفقد نفسه. ²¹

النسخ المتزامن قد يكرر الخطأ بسرعة. إذا حذف مستخدم مخول سجلًا، أو استولى مهاجم على صلاحية التعديل، فقد تصل النتيجة إلى المواقع كلها قبل اكتشافها. لذلك نحتاج نسخًا زمنية مستقلة ونسخًا غير قابلة للتغيير (Immutable Backups) وفحصًا للسلامة قبل إعادة الخدمة.

والاختبار ليس حفل تسليم يعقد مرة واحدة. كل تغيير في الهوية أو التشفير أو التكامل أو العقد يغير شروط الاسترداد. الصمود (Resilience) دورة متكررة من تجربة وفشل محدود وتشخيص وإصلاح وإعادة تجربة؛ وإلا بقي صفة تمنحها المؤسسة لنفسها في صفحة التعريف.

أن يبقى الملف سليمًا وتفسد الحقيقة

يزيد الذكاء الاصطناعي والبرمجيات المنفذة للمهام أهمية سؤال الأصل. انخفاض كلفة إنتاج المحتوى والبرمجيات قد يخفض كلفة تزوير السجلات وانتحال الهوية وتسميم البيانات (Data Poisoning) والتلاعب بالتدقيق. لا يحتاج الخصم دائمًا إلى حذف شهادة ملكية؛ قد يعدل معلومة صغيرة ثم يترك النسخ الاحتياطية تنشر التعديل كأنه مشروع.

هنا تظهر سلسلة المنشأ (Provenance): معرفة أصل البيانات ومسار تحولها ومن لمسها وبأي صلاحية. الذاكرة المحمية ليست التي لا يلمسها أحد، بل التي نعرف كيف تغيرت، ونستطيع العودة إلى حالة معروفة السلامة إذا اكتشفنا الخلل.

وهناك عمر التشفير. اعتمد المعهد الوطني الأمريكي للمعايير والتكنولوجيا في أغسطس 2024 المعايير FIPS 203 و204 و205 المصممة لمقاومة هجمات مستقبلية من حواسيب كمية. لا يعني ذلك انهيار كل خوارزمية حالية، لكنه يجعل قابلية التغيير التشفيري (Cryptographic Agility) شرطًا معقولًا لأرشيف يراد له البقاء عقودًا: جرد للخوارزميات والمفاتيح، وخطة انتقال، وقدرة على إعادة الحماية دون فقد الثقة في السجل. ²²

قبل اختيار أول عاصمة

يبدأ العمل بسؤال تصوغه الجهات المختصة: ما الوظائف التي يجب أن تظل الدولة قادرة على تشغيلها والتحقق منها إذا تعطلت مواقع محلية ومسارات دولية؟ بعدها تُبنى خريطة الاعتماد، بدل قائمة مشتريات للخوادم.

ثم ينشأ نموذج تجريبي محدود بلا بيانات شخصية أو أمنية فعلية في مراحله الأولى. يختبر تشفير المحتوى، وتوزيع حصص المفاتيح، واستعادة نظام متكامل من مواقع مستقلة، وصلاحية جهة طلب الاسترداد، وتغيير المورد والمضيف. وتُقاس المدة والكلفة ونقاط الفشل المشتركة، ولا تُفترض النتيجة قبل التجربة.

بالتوازي، يمكن للجهات الدبلوماسية والرقمية والسيبرانية والتنظيمية دراسة نموذج اتفاق دولي يأخذ من التجربة الإستونية جرأتها القانونية، لا تفاصيلها الأوروبية كما هي. قد تخلص الدراسة إلى أن فئات محدودة فقط تستحق استضافة خارجية محمية، وأن المملكة يمكن لاحقًا أن تكون مضيفًا لترتيبات متبادلة إذا اقتضت المصلحة والضوابط. البداية الصحيحة تحديد الحق الذي لا نريد أن يضيع إذا انطفأ الضوء.

اختيار الدولة المضيفة يأتي بعد ذلك، ويُقاس على أكثر من بُعد: استقرار القانون، واستقلال القضاء، ومتانة الاتصال والطاقة، والمسافة عن المخاطر المشتركة، والقدرة العملية على تنفيذ الاتفاق، وعلاقة الدولة المضيفة بالموردين وسلاسل الإمداد. القرب السياسي في لحظة التوقيع مهم، لكنه لا يغني عن بنود تعمل حين تتغير الحكومات والأسواق والتحالفات.

ومن الضروري أن يملك المشروع يومًا أخيرًا منذ يومه الأول. متى تُلغى الوظيفة البديلة؟ كيف تعاد الأصول؟ كيف تُمحى النسخ التي لم تعد لازمة؟ من يثبت أن الحذف تم، ومن يحتفظ بسجل التدقيق؟ إن غياب خطة الخروج يجعل ترتيب الاستمرارية نفسه اعتمادًا يصعب التخلص منه، ويحوّل الأمان المؤقت إلى قيد طويل الأجل.

ما الذي يبقى حين ينطفئ المبنى؟

أعود إلى الدمام لأنها تقرب الفكرة من صاحب الحق. لم يكن صاحب القضية محتاجًا إلى معرفة نوع قاعدة البيانات أو اسم مزود الخادم. كان يعنيه أن مرفقاته لم تختفِ مع دخان الحريق، وأن حقه لم يبدأ من الصفر لأن المبنى الذي آواه أصابه عطل في العالم المادي.

جعلت كييف السؤال أقسى، وأصبح الفيضان في كشمير طرفًا غائبًا في نزاع قديم، واختلطت في سوريا ملكية البيوت بمصير أوراقها، وظهرت في السودان هشاشة الذاكرة والاتصال معًا. أما حلب وسفالبارد فعلّمتانا أن النسخة الأهم هي التي تسمح بإعادة الحياة إلى ما تحفظه.

لا تقول هذه الشواهد إن الخارج آمن دائمًا، أو إن التشفير يلغي الجغرافيا، أو إن الحصانة تعترض صاروخًا. تقول إن الاستمرارية تقوى حين لا تتطابق جميع أجزائها مع مكان وقرار وعلة واحدة. على المملكة حماية قدراتها الوطنية، ومن الحكمة أيضًا دراسة توزيع شروط بقاء الوظائف السيادية خارج نقاط الفشل المشتركة، تحت سيطرة قانونية وطنية وتحكم تشفيري موزع.

السؤال الناضج ليس: في أي بلد نقيم أول سفارة بيانات سعودية؟ بل: كم منشأة يمكن أن نفقد، وكم طريقًا يمكن أن ينقطع، وكم مفتاحًا يمكن أن يغيب، قبل أن تفقد الدولة قدرتها على إثبات حق أو تشغيل خدمة جوهرية؟ الدولة الواثقة من مستقبلها لا تفترض أن مبانيها لن تحترق؛ إنها لا تسمح للحريق بأن يكتب السجل الأخير.