مجال بحثي · السحابة والسيادة
السيادة السحابية: من موقع البيانات إلى سيطرة قابلة للإثبات
من يقرّر ما إذا كانت أنظمتكم تعمل، وأين، وفي ظل أي قانون – وكذلك الذكاء الاصطناعي لديكم؟ يترجم Vami Research كلًّا من BSI C5، وكتالوج السيادة C3A، وCSA Cloud Controls Matrix، ومقترح المفوضية بشأن Cloud & AI Development Act إلى معايير قابلة للتدقيق لاختيار المزوّدين والعقود والتشغيل. وفي التشغيل يُعتدّ بالسياق لا بقائمة النتائج: إذ تُرتَّب الأولويات حسب قابلية الاستغلال الفعلية.
- BSI C5
- BSI C3A
- CSA CCM وCAIQ
- CNAPP وCSPM
- مسودة CADA
- EUCS
- التحكم في المفاتيح
- دراسات معمّقة
- 6
- أوراق بيضاء
- 0
- حلول
- 1
السيادة تصبح متطلبًا قابلًا للتدقيق
أمن السحابة اليوم مشكلة حوكمة أكثر منه مشكلة تقنية. فالمراتب الثلاث الأولى في CSA Top Threats 2024 تحتلها الإعدادات الخاطئة وقصور ضبط التغييرات، وإدارة الهويات والوصول، والواجهات وواجهات API غير الآمنة – وكلها موضوعات تقع ضمن نطاق مسؤولية العميل. ووفق مصفوفة المسؤوليات من Microsoft تبقى البيانات والأجهزة الطرفية والحسابات وإدارة الوصول لدى العميل في كل نموذج خدمة.
وفي الوقت نفسه أصبحت السيادة في 2026 قابلة للقياس. فمع C3A v1.0 قدّم BSI في 27 أبريل 2026 لأول مرة معايير لاستخدام السحابة بقرار ذاتي مستقل؛ وتتضمن النسخة الجديدة C5:2026 السيادةَ التقنية وConfidential Computing والتشفير ما بعد الكمّي. ويتوفر Cloud & AI Development Act منذ 3 يونيو 2026 بوصفه مقترحًا من المفوضية، أما مخطط الاعتماد الأوروبي EUCS فلم يُعتمد حتى الآن.
نقيّم استخدامات السحابة وفق هذه الكتالوجات والمسودات، ونطرح سؤال السيطرة نفسه بشأن الذكاء الاصطناعي. وتعمل VamiGRC وVamiAppSec وVamiThreat وVamiRedteam وVamiDAST وVamiReverse وVamiset بنظام SaaS على T Cloud Public، حصريًا في مراكز بيانات ألمانية. ونموذج اللغة قابل للاختيار – في VamiAppSec وVamiThreat وVamiDAST وVamiReverse وصولًا إلى Qwen3.8 المحلي في مركز بيانات VamiSec في Sankt Augustin، وفي VamiGRC للمحادثة والمساعد والوكلاء. ولا تُستخدم بيانات العملاء لتدريب الذكاء الاصطناعي.
أسئلة مفتوحة من الممارسة العملية
- 01
كيف تعرفون ما إذا كانت خدمة سحابية سيادية – لا مجرد خدمة تخزّن البيانات في الاتحاد الأوروبي؟
نهجنا
لا تغطي إقامة البيانات في مسودة CADA سوى أدنى المستويات الأربعة. لذلك نفحص إضافةً إلى ذلك التشغيل والتقنية: من يشغّل الخدمة، ومن أين يأتي الدعم، ومن يملك المزوّد، ومن يواصل تطوير البرمجيات. وتشكّل كتل المعايير من SOV-1 إلى SOV-6 في BSI C3A ومنطقُ المستويات في مسودة CADA إطارًا مرجعيًا لذلك.
- 02
كيف يمكن ترسيخ متطلبات السيادة في المناقصات دون تقييد المنافسة على نحو غير مشروع؟
نهجنا
نختار لكل سيناريو استخدام معايير C3A المناسبة، ونصوغها بوصفها متطلبات قابلة للتدقيق لكراسة الشروط وتقييم المزوّدين. ووفقًا لـ BSI يجب أن تكون القيود المقتصرة على صيغ الاتحاد الأوروبي أو الصيغ الألمانية مبرَّرة وجائزة قانونًا؛ لذلك نربطها بموضوع التعاقد ونوثّقها – من توطين البيانات بما يشمل القياس عن بُعد حتى حقوق التدقيق.
- 03
ما الذي تثبته شهادة تدقيق C5 (Testat) فعلًا – وما الذي يتغيّر مع C5:2026؟
نهجنا
نفحص أولًا نوع التقرير: يؤكد النوع 1 تصميم الضوابط في تاريخ مرجعي محدّد، ولا يؤكد فعاليتها على مدى فترة تدقيق تتراوح في العادة بين ثلاثة واثني عشر شهرًا إلا النوع 2. وتضم النسخة الجديدة C5:2026 ما مجموعه 168 معيارًا بدلًا من 121، وهي ملزمة لشهادات التدقيق ذات التواريخ المرجعية أو فترات التدقيق اعتبارًا من 1 يونيو 2027؛ ويجوز تطبيقها في وقت أبكر.
- 04
ماذا تعني السيادة حين تأتي أنظمة الذكاء الاصطناعي والوكلاء خدمةً من السحابة؟
نهجنا
نتعامل مع خدمة الذكاء الاصطناعي كأي خدمة سحابية أخرى، ونفحص إضافةً إلى ذلك النموذج والاستدلال (Inference) وبيانات التدريب: أين تُعالَج الموجّهات (Prompts) والمخرجات وبيانات القياس عن بُعد، ومن يشغّل النموذج ويواصل تطويره، وما إذا كانت بيانات التشغيل أو بيانات العملاء تدخل في أي تدريب. ويتبع هذا المنطق مسودة CADA التي تصنّف أنظمة الذكاء الاصطناعي المشغَّلة عن بُعد بوصفها خدمات سحابية.
ما نخلص إليه
- 01
موقع البيانات ليس دليلًا على السيادة
تتحدّد السيادة بالسيطرة على النظام، لا بالامتثال لـ DSGVO وحده. إذ يتيح US CLOUD Act للسلطات الأمريكية الوصول لدى المزوّدين الخاضعين للسيطرة الأمريكية بغض النظر عن موقع التخزين. لذلك فإن عبارة «البيانات تبقى في الاتحاد الأوروبي» ليست دليلًا – فالولاية القضائية التي يخضع لها المزوّد والسيطرة عليه، والتشغيل، والتحكم في المفاتيح، كلها عناصر يجب أن يشملها كل تقييم.
المرجع: السيادة الرقمية
- 02
يجعل C3A السيادة قابلة للتدقيق – لكن إجراء شهادة التدقيق لا يزال غائبًا
يقسّم كتالوج C3A v1.0 الصادر عن BSI في 27 أبريل 2026 السيادةَ إلى ست كتل من المعايير، من السيادة الاستراتيجية حتى السيادة التكنولوجية، ويفترض مسبقًا معايير C5. وهو ليس قانونًا ولا شهادة؛ أما عمليات التدقيق الموحّدة فقد اكتفى BSI حتى الآن بالإعلان عنها. لذلك تحتاج بيانات المزوّدين إلى مطابقتها مع أدلة إثبات موثوقة.
المرجع: BSI C3A
- 03
شهادة تدقيق C5 تنقل العمل إلى العميل بدلًا من أن تعفيه منه
C5 شهادة تدقيق (Testat) لا ختم: إذ يدقّق مدقّقون مستقلون وفق ISAE 3000 أو IDW PS 860، والنتيجة تقرير تدقيق يجب تحليله. ويتضمن التقرير المعايير المقابلة الخاصة بالعملاء التي يطبّقها المستخدم بنفسه. ولا يستطيع إثبات الاستخدام إلا من يربطها بضوابطه الخاصة ويوثّق تطبيقها.
المرجع: BSI C5
- 04
تطبّق مسودة CADA على خدمات الذكاء الاصطناعي منطق المستويات نفسه المطبَّق على السحابة
يتوفر Cloud & AI Development Act بوصفه مقترحًا من المفوضية بتاريخ 3 يونيو 2026؛ وقد تتغيّر المعايير والمهل خلال الإجراءات التشريعية. وتُدرّج المسودة السيادة في أربعة مستويات (Union Assurance Levels)، مع تدقيق من طرف ثالث اعتبارًا من المستوى 2، وحظر استخدام بيانات التشغيل لتدريب ذكاء اصطناعي تابع لدول ثالثة. وتتعامل مع أنظمة الذكاء الاصطناعي المشغَّلة عن بُعد بوصفها خدمات سحابية.
المرجع: CADA — قانون تطوير السحابة والذكاء الاصطناعي (Cloud & AI Development Act)
كيف نعمل
نجمع كتالوجات المعايير وتقارير التدقيق وبيانات القياس التقني عن بُعد في تقييم واحد – من عبء العمل الفردي (Workload) حتى المناقصة. ونشير إلى المسودات مثل CADA وEUCS بوصفها مسودات.
إطار السيادات الثلاث
تقييم السيادة على البيانات والسيادة على التشغيل والسيادة التقنية لكل عبء عمل – بما في ذلك تدفقات البيانات الوصفية ومسارات الدعم وهيكل ملكية المزوّد.
مطابقة المعايير: C5 وC3A وCCM
دمج المتطلبات الواردة في BSI C5 والكتل من SOV-1 إلى SOV-6 وCSA Cloud Controls Matrix؛ ونستخدم CAIQ لتقييمات منظّمة للمزوّدين.
تحليل تقارير التدقيق
فحص نوع التقرير وفترة التدقيق، واستخراج المعايير المقابلة الخاصة بالعملاء وربطها بالضوابط الخاصة.
تحليل الرسم البياني بدلًا من قائمة النتائج
ربط الإعدادات الخاطئة والثغرات الأمنية والهويات والانكشاف الشبكي، وإظهار مسارات الهجوم – مثلًا باستخدام Wiz؛ وVamiSec عضو في Wiz Partner Alliance.
جرد بصلاحيات قراءة فقط باستخدام Vamiset
ترصد Vamiset الأصول في AWS وAzure وGCP بصلاحيات قراءة فقط، وتفحصها مقابل CIS Benchmarks وضوابط من ISO 27001 وNIS2 مثلًا – دون وظيفة ذكاء اصطناعي حاليًا.
رصد الحالة
المتابعة المستمرة للمرحلة التي بلغها كلٌّ من مقترح CADA ومخطط EUCS المرشّح في الإجراءات، وكذلك الانتقال من C5:2020 إلى C5:2026.
هكذا تبدؤون
- 1تصنيف أعباء العملتصنيف أعباء العمل حسب حرجيتها من منظور السيادة، ورصد فئات البيانات والحاجة إلى الحماية والوضع التعاقدي وأدلة الإثبات المتوفرة.
- 2قياس الفجوات وترتيب أولوياتهامطابقة الوضع الراهن مع C5 وC3A ومستويات مسودة CADA، وترتيب أولويات الفجوات حسب الجهد والاعتمادية ومدة العقد.
- 3تحقيق السيطرة وإثباتهاتطبيق التحكم في المفاتيح وخطط الخروج والبنود التعاقدية، واختبار الخروج، وتجميع الأدلة لتدقيق مستقل.
دراسات معمّقة وأوراق بيضاء وتحليلات
دراسات معمّقة 6
التحليلات والأخبار
صفحات أخرى
مجالات بحثية ذات صلة
ما مدى سيادة سحابتكم – بشكل قابل للإثبات؟
نقارن بيئتكم السحابية بـ BSI C5 وBSI C3A ومستويات مسودة CADA، ونحدّد فجوات الإثبات التي يمكن سدّها الآن.