تدقيقات قانون POPIA تزيد الضغوط على مورّدي الشركات الجنوب أفريقية الصغيرة والمتوسطة

دخلت الشركات الجنوب أفريقية الصغيرة والمتوسطة التي تعالج المعلومات الشخصية مرحلة أكثر تطلباً من إنفاذ قانون POPIA، وفقاً لتقرير نشره cbn.co.za. فقد تجاوزت هيئة تنظيم المعلومات مرحلة الإعداد والإرشادات العامة، وبدأت تتواصل مباشرة مع الشركات وتطلب منها إثبات امتثالها للقانون.

ولا يقتصر أثر هذا التغيير على مكاتب الهيئة التنظيمية. إذ تتعامل المؤسسات الكبيرة بصورة متزايدة مع الشركات الأصغر في سلاسل توريدها باعتبارها جزءاً من محيطها الأمني الخاص. ولذلك قد تحتاج الشركات الصغيرة والمتوسطة التي تقدم البرمجيات أو الخدمات أو غيرها من أشكال الدعم إلى إثبات قدرتها على حماية معلومات العملاء، فضلاً عن امتلاكها الاتفاقيات والسجلات المطلوبة بموجب قانون POPIA.

ويتزايد الضغط مع استهداف المهاجمين للمورّدين الموثوقين بدلاً من محاولة اختراق الشركات المحصّنة جيداً بشكل مباشر. فقد توفر آلية تحديث لدى أحد المورّدين، أو نظام وصول عن بُعد، أو حساب بريد إلكتروني، أو فاتورة، مساراً إلى مؤسسة أكبر، لأن أنظمة العميل تقبل هذه الاتصالات أصلاً.

ارتفاع الإنفاذ وتقارير الاختراق

تدخل هيئة تنظيم المعلومات عامها العاشر من العمل، في حين مضى على سريان أحكام إنفاذ قانون POPIA خمس سنوات. وخلال تلك الفترة، ارتفع عدد الاختراقات الأمنية المُبلّغ عنها من 202 في 2021/2022 إلى 2,898 في 2025/2026. وقد تلقت الهيئة أكثر من 1,200 بلاغ خلال النصف الأول من العام الأخير وحده.

وتُسجَّل هذه الأرقام في ظل زيادة أوسع نطاقاً في هجمات سلسلة التوريد. فقد وجد تقرير تحقيقات خروقات البيانات لعام 2026 الصادر عن Verizon أن تورط أطراف ثالثة في الاختراقات ارتفع بنسبة 60% مقارنة بالعام السابق، وظهر في 48% من جميع الاختراقات. وفي الوقت نفسه، وجد المنتدى الاقتصادي العالمي أن 65% من المؤسسات الكبيرة تعتبر مخاطر الأطراف الثالثة وسلاسل التوريد التحدي الرئيسي أمام قدرتها على الصمود.

وتشمل الأمثلة الجنوب أفريقية الواردة في التقرير Satrix وBidvest Bank وEasyEquities، حيث رُبط انكشاف البيانات بمقدمي خدمات من الأطراف الثالثة. وتوضح هذه الحوادث سبب إمكانية مواجهة شركة ما عواقب ناجمة عن نقاط ضعف خارج بنيتها التحتية الأساسية.

وقال كريس أوجدن، الرئيس التنفيذي والمؤسس لشركة RubiBlue، إن المهاجمين قد يستخدمون اتصالات المورّدين الموثوقين للحصول على الوصول، بدلاً من مواجهة دفاعات المؤسسة الرئيسية. وتخلص الشركة إلى أن أدوات العمل والعلاقات التجارية العادية يمكن أن تتحول إلى مسارات للهجوم عندما لا تخضع للسيطرة الكافية.

وبالنسبة إلى الشركة الصغيرة والمتوسطة، ينطوي ذلك على مخاطر تجارية إلى جانب المخاطر التقنية. فعملاء أكبر يدرجون متطلبات أمنية في العقود، ويطلبون اتفاقيات معالجة البيانات، ويسألون المورّدين المحتملين عن أدلة على الامتثال قبل إسناد الأعمال إليهم. وقد تجد الشركة التي لا تستطيع تقديم تلك الأدلة صعوبة أكبر في الفوز بمكان لها ضمن سلسلة توريد قائمة أو الحفاظ عليه.

ست خطوات للشركات الأصغر

يحدد التقرير ستة مجالات يمكن للشركات الصغيرة والمتوسطة من خلالها تعزيز وضعها وإنشاء أدلة على تعاملها المسؤول مع البيانات:

• إنشاء خريطة للبيانات. ينبغي للشركات تحديد المعلومات الشخصية التي تتلقاها من العملاء، ومكان تخزينها، والأشخاص أو الأنظمة التي يمكنها الوصول إليها.
• تحديد المسؤوليات كتابةً. ينبغي أن تغطي اتفاقيات معالجة البيانات كل علاقة مع عميل أو متعاقد من الباطن، حتى تكون واجبات كل طرف واضحة.
• تأمين نقاط الوصول الشائعة. ويشمل ذلك تطبيق تحديثات البرمجيات، وإدارة أدوات الوصول عن بُعد، واشتراط المصادقة متعددة العوامل للحسابات التي تتعامل مع معلومات العملاء.
• تقييد الوصول وحماية النسخ الاحتياطية. ينبغي ألا تكون الأنظمة الحساسة متاحة إلا للمستخدمين المصرح لهم، في حين يجب أن تظل نسخة احتياطية واحدة على الأقل غير قابلة للوصول عبر بيانات اعتماد المورّد.
• اختبار مواطن الضعف. يمكن لعمليات الفحص المنتظمة للثغرات واختبارات الاختراق تحديد المشكلات التي ينبغي تصحيحها قبل استغلالها.
• الاحتفاظ بالإثباتات والاستعداد للحوادث. ينبغي أن توضح السجلات كيفية حماية المعلومات والاحتفاظ بها وحذفها. كما تحتاج الشركات إلى خطة للاستجابة للاختراقات والإبلاغ عنها.

وتهدف هذه الإجراءات إلى جعل الأمن قابلاً للإثبات بدلاً من الاعتماد على التأكيدات. ويمكن أن تساعد الوثائق الشركة الصغيرة والمتوسطة على الاستجابة عندما يسأل عميل عن كيفية إدارة المعلومات، أو عندما تطلب الهيئة التنظيمية إثبات الامتثال.

الأمن يصبح جزءاً من ممارسة الأعمال

تقول RubiBlue إنها تطبق هذه الضوابط على منصات تتعامل مع معلومات حساسة لحاملي وثائق التأمين لدى أكثر من 1,000 دار جنائز، وتصل إلى أكثر من 12 مليون حامل وثيقة. كما تقدم خدمات إلى مورّدي الشركات الصغيرة والمتوسطة، تشمل الإبلاغ عن الثغرات، واختبارات الاختراق، وإدارة التصحيحات، والمراقبة الوقائية.

ولا تشير المقالة إلى إمكانية جعل أي نظام آمناً تماماً. ويتمثل تحذيرها الأساسي في ضرورة أن يتبع مقدمو الخدمات من الأطراف الثالثة ممارسات أمنية سليمة، وأن يدمجوا حماية المعلومات في ثقافتهم الداخلية. وتزداد صعوبة فصل هذه المسؤولية عن البقاء التجاري، مع تدقيق العملاء في المورّدين المرتبطين ببياناتهم.

وبالنسبة إلى الشركات الصغيرة والمتوسطة، قد يكون الاستعداد قبل وصول استبيان أو مراجعة عقد أو استفسار تنظيمي أقل إرباكاً من محاولة إرساء الضوابط بعد وقوع اختراق. ومع ازدياد نشاط مراقبة قانون POPIA وبروز هجمات سلاسل التوريد بصورة أكبر، تتحول القدرة على إظهار كيفية حماية المعلومات بشكل متزايد إلى شرط للمشاركة في السوق.