مع توجّه الشركات في المملكة العربية السعودية إلى نقل أنظمتها المحاسبية إلى السحابة، مدفوعةً ببرامج التحول الرقمي ومتطلبات الفوترة الإلكترونية (E-invoicing) الصادرة عن هيئة الزكاة والضريبة والجمارك، يتكرر سؤال جوهري في اجتماعات الإدارة: هل بياناتنا المالية بأمان فعلًا؟ الإجابة الموضوعية أن المحاسبة السحابية (Cloud Accounting) يمكن أن تكون على درجة عالية من الأمان، بشرط التعامل مع التشفير وضبط الوصول والنسخ الاحتياطي وحماية البيانات بوصفها قرارات مدروسة لا تفاصيل ثانوية.
لماذا يستحق أمان المحاسبة السحابية اهتمام الإدارة العليا؟
تُعدّ السجلات المالية من أكثر الأصول حساسية لدى أي شركة؛ فبيئة المحاسبة السحابية النموذجية تحتوي على ميزان المراجعة (Trial Balance) وبيانات الرواتب وعقود المورّدين وأرصدة العملاء والمعلومات البنكية. وأي تسريب لهذه البيانات يتجاوز أثره الخسارة المالية المباشرة إلى الإضرار بالسمعة وتبعات تنظيمية محتملة. ويزيد من أهمية الموضوع انتشار العمل عن بُعد وتعدد الفروع، إذ أصبح الوصول إلى البيانات المالية يتم من أجهزة وشبكات متعددة خارج جدران المكتب.
ومن المهم تصحيح مفهوم شائع؛ فجداول البيانات المتبادلة عبر البريد الإلكتروني والبرامج المكتبية المثبتة على أجهزة الشركة ليست أكثر أمانًا من السحابة بطبيعتها. فمزوّدو الخدمات السحابية الموثوقون يستثمرون في فرق أمنية متخصصة ومراقبة مستمرة وبنية تحتية يصعب على معظم الشركات بناؤها منفردة. والسؤال الحقيقي ليس «سحابة أم لا»، بل ما إذا كانت المنصة المحددة — وطريقة استخدام فريقك لها — تتبع ممارسات أمنية سليمة.
التشفير (Encryption): خط الدفاع الأول لبياناتك المالية
يحوّل التشفير البيانات المقروءة إلى صيغة مشفّرة تفقد قيمتها لدى أي طرف يعترضها. ويظهر في المحاسبة السحابية بصورتين أساسيتين: التشفير أثناء النقل (Encryption in Transit) الذي يحمي البيانات المنتقلة بين متصفحك والمنصة عبر اتصالات مشفّرة (TLS/HTTPS)، والتشفير أثناء التخزين (Encryption at Rest) الذي يحمي البيانات المخزّنة على خوادم المزوّد، بحيث لا تكشف حتى سرقة قرص فعلي أي سجلات مقروءة.
وعند تقييم أي منصة، ابحث عن صفحة أمنية منشورة توضح معايير التشفير وإدارة مفاتيحه؛ فالمزوّدون الأكثر شفافية بشأن بنيتهم الأمنية أكثر نضجًا عادةً ممن يكتفون بعبارات عامة مطمئنة. ومن المفيد إدراك حدود التشفير أيضًا: فهو يحمي البيانات من الاعتراض، لكنه لا يحمي حسابًا تحرسه كلمة مرور ضعيفة، وهنا يأتي دور ضبط الوصول.
ضبط الوصول (Access Control): معظم الحوادث تبدأ من تسجيل دخول
في الواقع العملي، يبدأ كثير من الحوادث الأمنية لا باختراق تقني متقدم، بل بكلمة مرور ضعيفة أو حساب مشترك أو موظف سابق لم تُلغَ صلاحياته. ولهذا يوصف الأمان السحابي بأنه مسؤولية مشتركة (Shared Responsibility): فالمزوّد يؤمّن البنية التحتية، بينما تقع الضوابط التالية في يد شركتك إلى حد كبير:
- الصلاحيات المبنية على الأدوار (Role-Based Access Control): بحيث يرى المحاسبون والمديرون والمستشارون الخارجيون ما تتطلبه أدوارهم فقط، وفق مبدأ الحد الأدنى من الصلاحيات (Least Privilege).
- المصادقة متعددة العوامل (Multi-Factor Authentication): خطوة تحقق إضافية تضيف حاجزًا فعالًا أمام الهجمات المعتمدة على كلمات المرور المسروقة.
- إلغاء الصلاحيات فورًا: بحيث يُسحب الوصول في اليوم نفسه الذي تنتهي فيه علاقة الموظف أو المورّد بالشركة.
- سجلات النشاط (Activity Logs): توثيق من اطّلع على البيانات أو عدّلها ومتى، بما يدعم المراجعة الداخلية والمساءلة.
النسخ الاحتياطي (Backups) واستمرارية الأعمال (Business Continuity)
لا يقتصر الأمان على منع المتسللين، بل يشمل بالقدر نفسه القدرة على التعافي عند وقوع خطأ ما: حذف غير مقصود، أو انقطاع لدى المزوّد، أو هجوم ببرمجيات الفدية (Ransomware) التي تستهدف تعطيل وصول المنشأة إلى بياناتها ثم المطالبة بمقابل مالي لاستعادتها. وقد واجهت شركات من مختلف الأحجام والقطاعات حوادث من هذا النوع، ما يجعل التخطيط للاستعادة جزءًا أساسيًا من تقييم أي منصة. وقبل الاعتماد على أي منصة محاسبة سحابية، اسأل:
- هل تُنشئ المنصة نسخًا احتياطية تلقائية؟ وبأي تواتر؟
- هل يمكن استعادة إصدارات سابقة من السجلات؟ وإلى أي مدى زمني؟
- هل يمكنك تصدير نسخة كاملة من بياناتك دوريًا بمعزل عن المزوّد؟
- هل جرى اختبار عملية الاستعادة فعليًا أم أنها موجودة على الورق فقط؟
نظام حماية البيانات الشخصية (PDPL): حماية البيانات التزام نظامي
ينظّم نظام حماية البيانات الشخصية (PDPL) في المملكة كيفية جمع المنشآت للبيانات الشخصية ومعالجتها وتخزينها ونقلها، وتتولى الإشراف عليه الجهة المختصة بحماية البيانات، وقد صدرت له لوائح تنفيذية توضح جوانب تطبيقه. وتدخل الأنظمة المحاسبية في نطاقه أكثر مما يتصوّر كثير من المديرين؛ فبيانات الرواتب وأسماء العملاء ووسائل التواصل معهم ومعلومات المورّدين كلها بيانات شخصية.
ويبقى تفسير الالتزامات النظامية بموجب النظام من اختصاص المستشارين القانونيين المرخّصين؛ أما الخلاصة العملية لقادة المالية فهي أن اختيار المزوّد لم يعد قرارًا يقتصر على المزايا والسعر. ومن أسئلة حماية البيانات الجديرة بالطرح أثناء التقييم:
- أين تُستضاف البيانات فعليًا؟ وما القواعد المطبقة على نقلها خارج المملكة؟
- هل تحدد البنود التعاقدية بوضوح مسؤوليات المزوّد بصفته معالجًا للبيانات (Data Processor)؟
- ما مدة الاحتفاظ بالسجلات؟ وماذا يحدث لبياناتك عند انتهاء العقد؟
الخلاصة
تمثّل المحاسبة السحابية ركيزة أساسية في التحول الرقمي المالي داخل المملكة، ويقوم أمانها على شراكة واضحة: المزوّد يؤمّن البنية التحتية، وشركتك تحكم المستخدمين والصلاحيات وعادات النسخ الاحتياطي والوعي بمتطلبات حماية البيانات. والوصول إلى مستوى جاهزية سليم لا يتطلب غالبًا ميزانيات ضخمة، بقدر ما يتطلب وعيًا وترتيبًا للأولويات وطرح الأسئلة الصحيحة قبل اعتماد أي منصة وبعده. وتقدّم مكين لحلول الأعمال دعمًا استشاريًا للشركات في الرياض وأنحاء المملكة في مجالات الأنظمة المالية والتحول الرقمي للوظيفة المالية والتقييم المنهجي لتقنيات المحاسبة؛ فإذا رغبت في مناقشة جاهزية أنظمتك الحالية، يسعد فريقنا بالتواصل معك. هذا المحتوى تثقيفي عام ولا يُعدّ استشارة مهنية ملزمة؛ وللمسائل المنظّمة يُرجى الرجوع إلى الجهات المرخّصة المختصة.