يتناول كتالوج معايير C3A بُعد السيادة في الخدمات السحابية — من السيطرة على البيانات والولاية القضائية للاتحاد الأوروبي حتى استراتيجية الخروج والتحكم في المفاتيح. نجعل استخدامكم للسحابة سياديًا بشكل قابل للإثبات — لدى مزوّدي الخدمات السحابية الكبار (Hyperscaler) كما على البنية التحتية الأوروبية.
ستة أبعاد تحدد ما إذا كان استخدام السحابة سياديًا فعلًا — أم أن «sovereign» يبقى مجرد مصطلح تسويقي. ولكل بُعد معايير فحص وأدلة إثبات وأسئلة تصعيد خاصة به.
من يتحكم في البيانات — وأين تُخزَّن؟
التوطين في الاتحاد الأوروبي، والتشفير الشامل أثناء التخزين والنقل، والسيطرة على المفاتيح لدى العميل (BYOK / HYOK)، وتدفقات بيانات قابلة للتتبع، وأدلة إثبات الحذف. لا تنتهي السيطرة عند المزوّد، بل عند إدارة المفاتيح.
من يشغّل — ومن لديه صلاحية الوصول الإداري؟
إدارة التشغيل عبر فرق أوروبية، وفصل واضح للأدوار الإدارية، وعمليات طوارئ وتصعيد موثّقة. لا تبدأ «Sovereign Cloud» من الشعار التسويقي، بل من نموذج الوصول المميّز (Privileged Access).
معايير مفتوحة، وقابلية النقل، ولا ارتهان للمزوّد.
واجهات مفتوحة، وواجهات API موثّقة، وصيغ حاويات وبيانات تتيح تغيير المزوّد بشكل واقعي. السيادة لا تعني «الخروج من السحابة» — بل القدرة على الانتقال في أي وقت، تقنيًا وتجاريًا.
ولاية قضائية أوروبية — لا وصول عابر للحدود الإقليمية.
علاقة تعاقدية مع شركة في الاتحاد الأوروبي، وولاية قضائية أوروبية حصرية، ولا وصول إلى البيانات استنادًا إلى US CLOUD Act أو FISA 702 أو لوائح مماثلة لدول ثالثة. ويعالج ذلك تبعات Schrems II والمتطلبات الرقابية الخاصة بالقطاعات.
استراتيجية الخروج، واختيار المزوّد، والتحكم في التكاليف.
التبعية الاقتصادية هي أخفى أشكال الارتهان. فمسارات الخروج الواضحة، ونماذج التكلفة دون مخاطر صرف العملات، وخيارات السحابة المتعددة، وخطة بديلة موثّقة، تمنع أن يصبح الترحيل مستحيلًا لأسباب اقتصادية.
حقوق التدقيق، والشفافية، وأدلة إثبات الثقة.
حقوق تدقيق كاملة (عند الطلب عبر أطراف ثالثة)، وسلاسل معالجين فرعيين شفافة، ومعمارية أمنية قابلة للإثبات — مدعومة بتقرير C5 وISO 27001 وISO 27017/27018 ومعايير C3A التكميلية. الثقة قابلة للإثبات، لا مجرد ادعاء.
ست خطوات — معيارية وقائمة على الوثائق ومتوافقة مع مستوى نضج استراتيجيتكم السحابية.
حصر أحمال العمل السحابية وفئات البيانات والوضع التعاقدي وأدلة الإثبات القائمة (C5 و27001 وTISAX).
مقارنة الوضع المستهدف بالفعلي وفق الأبعاد الستة — لكل خدمة ولكل فئة بيانات ولكل التزام تنظيمي.
خطة مرتّبة حسب الأولوية: التحصين التقني، وإدارة المفاتيح، وتعديلات العقود، وتغيير المزوّد.
اعتماد BYOK/HYOK، ونقل أحمال العمل أو نسخها، وتحصين نموذج الوصول المميّز.
بناء حزمة التدقيق: TIA، وقائمة المعالجين الفرعيين، وخطة الخروج، ولوحة مؤشرات الأداء، والاختبارات الدورية.
تقييم مستمر، وتدقيقات المراقبة، وإعادة التقييم عند حدوث تغييرات لدى المزوّد أو في القانون.
لم تعد السيادة ميزة إضافية. وهذه القطاعات تشعر بالضغط أولًا — بفعل الرقابة أو سلاسل التوريد أو طلبات العملاء.
الجهات الاتحادية والولائية والبلدية ومشغّلو KRITIS الذين يتعين عليهم شراء خدمات سحابية ذات سيادة قابلة للإثبات — بما يتجاوز C5.
→ ابدأوا تقييم C3Aالبنوك وشركات التأمين ومديرو الأصول الخاضعون لرقابة BaFin (KAIT/VAIT/BAIT) وDORA وتنظيم الأطراف الثالثة لتقنية المعلومات والاتصالات.
→ كونوا جاهزين للرقابةالمستشفيات ومؤسسات البحث وشركات الأدوية ذات البيانات الحساسة بشكل خاص والمتطلبات الأوروبية المتزايدة (EHDS وGDPR).
→ احموا سيادتكم على البياناتالتصنيع والهندسة وقطاع السيارات — حماية الملكية الفكرية وبيانات التصميم والمعرفة الإنتاجية من وصول دول ثالثة.
→ نظّموا حماية الملكية الفكريةيتناول C3A (Cloud Computing Compliance Criteria Catalogue — Autonomie) بُعد السيادة في الخدمات السحابية، ويكمّل بذلك C5 الذي يركّز على أمن المعلومات. فبينما يفحص C5 «مدى أمان» تشغيل السحابة، يضيف C3A سؤال «مدى السيادة»: السيطرة على البيانات، والولاية القضائية، ونموذج التشغيل، والقدرة على الخروج. والكتالوجان متكاملان — ونوصي ببرنامج تدقيق متكامل.
بحسب الخبرة، السيادة القانونية والاستراتيجية — إذ ينهار كلاهما عند الفحص الدقيق أمام هياكل المجموعات والبنود التعاقدية المعيارية وغياب حقوق التدقيق. أما السيادة التقنية والتشغيلية فيمكن السيطرة عليهما جيدًا بقرارات الأدوات والمعمارية الصحيحة.
ليس بالضرورة. إذ يقدّم عدد من مزوّدي السحابة الكبار تكوينات Sovereign Cloud أوروبية مع مشغّل أوروبي وBYOK/HYOK واستبعاد مُحكم تعاقديًا لدول ثالثة. والحاسم هو المعمارية القابلة للإثبات، لا الشعار. ويوفّر C3A إطار التقييم الذي يمكن به التمييز بين السيادة التسويقية والسيادة الحقيقية.
يستغرق التقييم الأولي لـ 5–15 خدمة سحابية مركزية عادةً 4–8 أسابيع، بحسب وضع التوثيق القائم. ويليه مرحلة الإجراءات وبناء هيكل أدلة الإثبات، وتستغرق بحسب مستوى النضج 6–12 شهرًا.
C3A قابل للربط: إذ تغطي Gaia-X-Self-Descriptions أجزاء كبيرة من السيادة التقنية والتشغيلية، ويتناول EU Cloud Code of Conduct طبقة GDPR. ويجمع C3A هذه المكوّنات في نموذج من 6 أبعاد قابل للتدقيق، ويوسّعها بالسيادة الاستراتيجية (حقوق التدقيق والسيطرة على المفاتيح واختبارات الخروج).
يجري التدقيق على غرار C5 من قبل مدققي حسابات مستقلين وفق ISAE 3000 (revised) أو IDW PS 860 — استنادًا إلى وصف النظام المقدَّم من مزوّد الخدمة السحابية. ونرافق المزوّدين في البناء، والمشغّلين في طلب أدلة الإثبات من مزوّدي الخدمات السحابية لديهم.
تواصلوا معنا للحصول على استشارة فردية وحل أمني مصمم وفق متطلباتكم.
Valeri Milke، الرئيس التنفيذي لـ VamiSec
«فقط عندما تتناغم جميع الأدوات جيدًا، تصبح مؤسستكم آمنة وممتثلة.»
