الأمن السيبراني للمرافق العامة بوصفه التزاماً دستورياً على الدولة

الاستاذ الدكتور
رزكار حمة رحيم بينجويني

أدى التحول الرقمي المتسارع في عمل الدولة إلى إعادة صياغة مفهوم المرفق العام ووظائفه ووسائل استمراره. فالمرافق التي كانت تعتمد على الوثائق الورقية والبنية المادية المباشرة أصبحت مرتبطة بقواعد البيانات والشبكات والمنصات الرقمية وأنظمة الاتصالات، وأضحى تشغيل قطاعات الصحة والكهرباء والمياه والنقل والتعليم والخدمات المالية والإدارية مرتبطاً بدرجات متفاوتة بسلامة البنية السيبرانية. ومن ثم لم يعد الأمن السيبراني مسألة تقنية تخص خبراء الحاسوب وحدهم، وإنما تحول إلى قضية من قضايا القانون العام، لأن اختراق الأنظمة أو تعطيلها قد يؤدي إلى المساس المباشر بحقوق المواطنين واستمرارية الخدمات الأساسية. ويثير ذلك سؤالاً مهماً: هل حماية المرافق العامة من المخاطر السيبرانية مجرد خيار إداري يتعلق بكفاءة الإدارة، أم أنها التزام دستوري يقع على عاتق الدولة؟
إن الإجابة عن هذا السؤال تبدأ من طبيعة المرفق العام ذاته. فالدولة الحديثة لا تستمد شرعيتها من امتلاك السلطة فقط، وإنما من قدرتها على أداء الوظائف التي أنشئت من أجلها وضمان الحقوق والخدمات التي يقررها النظام الدستوري. وإذا كان انتظام المرافق العامة واستمرارها من المبادئ المستقرة في القانون الإداري، فإن انتقال هذه المرافق إلى البيئة الرقمية يفرض توسيع مضمون هذا المبدأ ليشمل استمرارية البنية المعلوماتية التي يعتمد عليها المرفق. فلا معنى لاستمرار قانوني أو مؤسسي لمرفق صحي، مثلاً، إذا كان نظامه الرقمي متوقفاً بصورة تمنع الوصول إلى السجلات أو تقديم الخدمة.
ومن هنا يمكن النظر إلى الأمن السيبراني باعتباره شرطاً حديثاً لمبدأ استمرارية المرفق العام. فالانقطاع الرقمي قد ينتج آثاراً لا تختلف في جوهرها عن توقف المنشأة المادية، بل قد تكون أكثر اتساعاً بسبب ترابط الأنظمة. والهجوم الذي يصيب مركز بيانات حكومياً قد يؤثر في عدة خدمات في الوقت نفسه، كما قد يؤدي تسريب بيانات المواطنين إلى أضرار تستمر حتى بعد استعادة النظام. ولذلك فإن واجب الدولة لا يقتصر على إعادة تشغيل الخدمة بعد الهجوم، بل يمتد إلى اتخاذ التدابير المعقولة التي تمنع وقوع الضرر أو تقلل احتماله وآثاره.
ويتصل هذا الالتزام أيضاً بحماية الحقوق الدستورية. فالحق في الخصوصية، وحماية الحياة الخاصة، وسرية المراسلات والبيانات، والمساواة في الوصول إلى الخدمات، وغيرها من الحقوق، أصبحت تعتمد في ممارستها على سلامة النظم الرقمية. وحين تجمع جهة عامة بيانات واسعة عن المواطنين فإن حيازتها لهذه البيانات تنشئ مسؤولية موازية لحمايتها. فلا يجوز للدولة أن تطلب من الفرد تقديم معلوماته لأغراض الخدمة العامة ثم تتعامل مع أمنها بوصفه مسألة ثانوية. إن الثقة التي يقوم عليها التعامل بين المواطن والإدارة تقتضي أن تستخدم السلطة العامة معايير مناسبة لحماية المعلومات من الوصول غير المشروع أو التعديل أو الإتلاف.
كما يرتبط الأمن السيبراني بمبدأ المشروعية. فالإدارة ملزمة بأداء وظائفها وفق القانون، ويشمل ذلك احترام الضمانات المتعلقة بحماية البيانات وسلامة الإجراءات. وإذا أدى ضعف الأنظمة إلى تغيير المعلومات أو فقدانها أو اتخاذ قرارات استناداً إلى بيانات تم التلاعب بها، فإن المشكلة لا تبقى تقنية، بل تمتد إلى مشروعية القرار الإداري نفسه. القرار الصادر عن منظومة معلوماتية غير موثوقة قد يمس المراكز القانونية للأفراد، وهو ما يجعل أمن البيانات جزءاً من سلامة العمل الإداري.
ولا يعني وصف الأمن السيبراني بأنه التزام دستوري أن الدستور يجب أن يتضمن دائماً نصاً صريحاً يحمل هذه العبارة. فالالتزامات الدستورية قد تستخلص من مجموعة مبادئ وحقوق مترابطة، مثل واجب حماية الحقوق، واستمرارية مؤسسات الدولة، وحماية الأمن العام، وضمان الخدمات الأساسية. ومع تغير وسائل أداء الدولة لوظائفها تتغير المتطلبات العملية اللازمة لتنفيذ هذه الالتزامات. وكما تلتزم الدولة بحماية المنشآت المادية الضرورية للمجتمع، يصبح منطقياً أن تشمل الحماية البنية الرقمية التي أصبحت جزءاً من وجود تلك المنشآت ووظيفتها.
وتظهر أهمية هذا الفهم بصورة أكبر في المرافق الحيوية. فاختراق شبكة كهرباء أو نظام مياه أو مؤسسة صحية قد يتجاوز الخسارة المالية إلى تهديد حياة الأشخاص وسلامتهم. لذلك ينبغي أن تختلف مستويات الحماية بحسب طبيعة المرفق وحجم الضرر المحتمل. ولا يكفي اعتماد معيار موحد لجميع الجهات الحكومية، بل يتعين تصنيف البنى والأنظمة وفق درجة حساسيتها، وتخصيص موارد الحماية والاستجابة على هذا الأساس. ويجسد ذلك مبدأ التناسب في إدارة المخاطر العامة.
ومن الالتزامات الأساسية التي يمكن اشتقاقها من هذا التصور واجب الوقاية. ويشمل تحديث الأنظمة، ومعالجة الثغرات، وتحديد الصلاحيات، وحماية النسخ الاحتياطية، واختبار خطط الاستجابة، وتدريب الموظفين، ومراجعة الموردين الخارجيين. فالعديد من الاختراقات لا تنتج عن تقنيات خارقة، بل عن أخطاء بشرية أو أنظمة قديمة أو كلمات مرور ضعيفة أو صلاحيات أوسع من الحاجة. ولذلك فإن العناية السيبرانية تبدأ من الحوكمة المؤسسية قبل أن تبدأ من شراء التقنيات المتقدمة.
ويقابل واجب الوقاية واجب الاستجابة. فحتى أفضل الأنظمة لا تستطيع ضمان انعدام الخطر، ولذلك ينبغي أن تمتلك الجهات العامة خططاً واضحة للتعامل مع الحوادث: من يعلن حالة الطوارئ الرقمية، وكيف تعزل الأنظمة المصابة، وكيف تستمر الخدمات الأساسية، وكيف تستعاد البيانات، ومتى يبلغ المواطنون، وكيف تحفظ الأدلة للتحقيق. إن غياب خطة الاستجابة قد يضاعف أثر الحادث ويحول اختراقاً محدوداً إلى أزمة عامة.
ويضاف إلى ذلك واجب الشفافية والمساءلة. فالمواطن الذي تتعرض بياناته للاختراق له مصلحة مشروعة في معرفة طبيعة الحادث وآثاره والإجراءات التي اتخذت لمعالجته، بالقدر الذي لا يضر التحقيق أو الأمن. كما ينبغي ألا تتحول السرية الأمنية إلى وسيلة لإخفاء الإهمال الإداري. ويمكن للرقابة البرلمانية والقضائية والهيئات المتخصصة أن تؤدي دوراً مهماً في التأكد من أن المؤسسات العامة تطبق معايير الحماية ولا تكتفي بالإعلانات العامة.
وتطرح المسؤولية القانونية عن الإخفاق السيبراني إشكالية دقيقة. فليس كل اختراق دليلاً تلقائياً على خطأ الدولة، لأن بعض الهجمات قد تكون شديدة التطور ولا يمكن منعها بالكامل. لكن المسؤولية قد تقوم عندما يثبت أن الجهة العامة تجاهلت مخاطر معروفة، أو امتنعت عن تحديث أنظمة رغم التحذيرات، أو لم تتخذ احتياطات تتناسب مع حساسية البيانات والمرفق. ومن هنا ينبغي تقييم سلوك الإدارة وفق معيار العناية المعقولة وظروف الخطر والإمكانات المتاحة، لا وفق افتراض غير واقعي بإمكان تحقيق الأمن المطلق.
ومن الضروري كذلك معالجة العلاقة مع الشركات الخاصة، لأن كثيراً من المرافق العامة تعتمد على الحوسبة السحابية أو البرمجيات أو شركات الاتصالات والمقاولين. إن الاستعانة بالقطاع الخاص لا تنقل المسؤولية الدستورية عن الدولة بصورة كاملة. فالإدارة التي تفوض جانباً من البنية الرقمية تظل مطالبة باختيار المورد بعناية، ووضع شروط أمنية واضحة، ومراقبة الالتزام، وضمان إمكان استعادة البيانات واستمرار الخدمة عند انتهاء العقد أو تعطل الشركة. وبذلك تصبح المشتريات الحكومية الرقمية جزءاً من سياسة الأمن العام.
كما أن العنصر البشري يمثل ركناً لا يمكن تجاهله. فالأمن السيبراني ليس منظومة أجهزة فقط، بل ثقافة إدارية. الموظف الذي لا يعرف كيفية التعامل مع رسالة احتيالية قد يفتح مدخلاً إلى شبكة شديدة الحساسية، والمسؤول الذي يؤجل تحديثاً ضرورياً قد يخلق ثغرة واسعة. ولذلك يجب أن يصبح التدريب المستمر جزءاً من واجبات الوظيفة العامة في المؤسسات الرقمية، مع تحديد واضح للمسؤوليات ومنع ترك الأمن لقسم تقني معزول عن الإدارة العليا.
ويستدعي الأمر أيضاً تطوير التشريعات بما ينسجم مع سرعة التحول التقني. فالقواعد العامة للمسؤولية الإدارية قد تحتاج إلى تفصيل في مسائل الإبلاغ عن الحوادث، وتصنيف البنى الحرجة، وحماية البيانات، وتبادل المعلومات بين الجهات، والرقابة على مقدمي الخدمات. لكن كثرة التشريعات لا تكفي إذا لم تقترن بقدرة مؤسسية على التنفيذ. فالأمن السيبراني مجال تتغير فيه المخاطر بسرعة، ولذلك يجب أن تسمح القواعد بوضع معايير فنية قابلة للتحديث دون الحاجة إلى إعادة بناء النظام القانوني عند كل تطور تقني.
وعلى المستوى الدستوري، يحقق إدماج الأمن السيبراني في مفهوم حماية المرافق العامة فائدة مهمة تتمثل في منعه من التحول إلى بند مالي يمكن إهماله عند ضغط الموازنات. فإذا كانت سلامة البنية الرقمية شرطاً لممارسة الحقوق واستمرار الخدمات، فإن تخصيص الموارد اللازمة لها يصبح جزءاً من حسن أداء الدولة لالتزاماتها. ولا يعني ذلك منح الإنفاق التقني أولوية مطلقة، بل إخضاعه لتقدير عقلاني يقوم على المخاطر والآثار المحتملة.
وفي الوقت نفسه يجب الحذر من استخدام الأمن السيبراني لتوسيع سلطة الدولة على حساب الحقوق والحريات. فقد تبرر بعض الإجراءات الأمنية جمع بيانات واسعة أو زيادة المراقبة، وهو ما يستوجب إخضاعها لمبادئ الضرورة والتناسب والمشروعية والرقابة. إن الدولة التي تحمي شبكاتها لا ينبغي أن تفعل ذلك عبر إضعاف الحقوق التي أنشئت تلك الشبكات لخدمتها. ولذلك فإن الأمن الدستوري الحقيقي هو الذي يجمع بين سلامة المرفق وصيانة حرية الفرد وخصوصيته.
وتتجلى القيمة الأعمق لهذا الموضوع في أن مفهوم الأمن العام نفسه أصبح مركباً. فحماية المجتمع لم تعد مقتصرة على الحدود والمنشآت والطرق، بل تشمل قواعد البيانات والخوادم والشبكات والهوية الرقمية. وكلما توسعت الحكومة الإلكترونية ازداد اعتماد المواطن على هذه البنية في حياته اليومية، وأصبح أي إخفاق فيها ذا أثر مباشر على العلاقة بين الدولة والفرد. ومن ثم فإن الأمن السيبراني للمرافق العامة يمثل أحد أوجه تطور فكرة الدولة القانونية في العصر الرقمي.
وخلاصة القول إن حماية المرافق العامة من المخاطر السيبرانية يمكن النظر إليها بوصفها التزاماً دستورياً متفرعاً عن واجب الدولة في ضمان استمرارية الخدمات، وحماية الحقوق، وصيانة الأمن العام، واحترام المشروعية. وهذا الالتزام لا يقتضي منع كل هجوم، وهو أمر غير ممكن عملياً، وإنما يقتضي بناء مستوى معقول ومتناسب من الوقاية والجاهزية والاستجابة والمساءلة. وبقدر ما تتحول الدولة إلى دولة رقمية، تصبح سلامة بنيتها المعلوماتية جزءاً من سلامة النظام العام ذاته. ومن هنا فإن مستقبل القانون العام سيشهد على الأرجح اندماجاً متزايداً بين قواعد المرفق العام والحقوق الدستورية وحوكمة البيانات والأمن السيبراني، بما يضمن أن يكون التحول الرقمي وسيلة لتعزيز خدمة المواطن لا مصدراً جديداً لهشاشة حقوقه.