رؤية 2030 وطبقة الحماية من DDoS: الحركة التي تغادر تأخذ الخبرة معها

البرنامج التنموي في المملكة صريح في عدد قليل من الأمور: تنويع الاقتصاد بعيداً عن مصدر إيراد واحد، وتنمية اقتصاد رقمي، وبناء محتوى وقدرة محليَّين بدل استيراد قدرة جاهزة إلى ما لا نهاية. هذه أهداف معلنة ومكرّرة، ولا يحتاج شيء في هذا الدليل إلى قراءة أدقّ من ذلك فيها.

وتطبيقها على شراء الأمن السيبراني يُنتج سؤالاً لا يطرحه أي تقييم امتثال. ليس هل هذا الضابط كافٍ — فذلك محسوم في مواضع أخرى، ويتناوله دليل الضوابط الأساسية — بل هل تبني طريقةُ تسليمنا لهذا الضابط ما قالت الدولةُ إنها تريد بناءه، أم تحلّ محلّه؟

الإتاحة صارت أصلاً عاماً

حين تنتقل التجارة وتقديم الخدمة الحكومية والصيرفة واللوجستيات كلها إلى قنوات رقمية عامة، تكفّ إتاحة تلك القنوات عن كونها مقياساً تشغيلياً يخصّ مؤسسات منفردة. تصير خاصية من خواص الاقتصاد الوطني، كما هي إنتاجية ميناء أو موثوقية شبكة كهرباء.

وهذا سبب استحقاق DDoS للانتباه في نقاش سياسات تنموية أصلاً: هي واحدة من فئات التهديد القليلة التي غرضها كله إزالة الإتاحة، ولا تتطلّب اختراق شيء، ورخيصة على هدف صار مهماً اقتصادياً.

الجزء الذي يُناقَش من التوطين

أكثر النقاش عن البيانات: أين تُخزَّن، وأين تُعالَج، تحت أي ولاية، وبأي أساس. وتطبيقه على DDoS مطروق جيداً، وتفصيله في دليل توطين البيانات في الخليج.

هذا التحليل صحيح وناقص. يقيس ما يعبر الحدود. ولا يقيس ما يعجز عن التراكم على هذا الجانب منها.

الجزء الذي لا يُناقَش

انظر إلى ما يحدث فعلاً أثناء هجوم مُخفَّف، من زاوية التعلّم المؤسسي لا من زاوية الحركة.

شخص يشاهد الحركة تصل. شخص يميّز أي توقيع هذا، ويلاحظ أي الخدمات المحميّة بدأت تترنّح أولاً، ويقرّر هل العتبة التي أُطلقت صحيحة، فيعدّلها، ويراقب الأثر، ويكتب بعدها ما ينبغي فعله بشكل مختلف. هذا التسلسل هو حيث تُصنَع الكفاءة التشغيلية. ولا يمكن اكتسابه من تقرير ولا دورة ولا شهادة، لأن الجزء النافع منه خاص بالمنشأة المدافَع عنها.

فأين يقع هذا التسلسل في كل معمارية؟

إن وقع الفحص اليومي في مراكز مزوّد، فهو يقع في غرفة عمليات ذلك المزوّد، بمهندسيه، في بلد آخر. وفريقك يتلقّى إشعاراً ورسماً وملخّصاً لاحقاً. لم يشاهد شيئاً. وخلال خمس سنوات وعشرات الأحداث تصبح مؤسسة المزوّد أفضل بشكل قابل للقياس في الدفاع عن حركة مثل حركتك، وتصبح مؤسستك أفضل بشكل قابل للقياس في قراءة التقارير.

وإن وقع الفحص على أجهزة في منشأتك، وقع التسلسل نفسه في غرفة عملياتك. والمهندس الذي ضبط العتبة على كشوفك، وفي البلد، ويبقى قابلاً للتوظيف فيه بعدها. والمعرفة لا تغادر مع انتهاء عقد، لأن الطرف المقابل لم يحملها قط.

هذه هي الدعوى، وهي أضيق من خطاب السيادة الملحق عادةً بهذا الموضوع. ليست أن المزوّدين الأجانب غير جديرين بالثقة. بل أن المهارة تتراكم لدى من يؤدّي العمل، وأن هدفاً تنموياً عن بناء قدرة وطنية هو بيان عن أين ينبغي أن يُؤدّى العمل.

المحتوى المحلي ليس فقط أين يذهب المال

أطر الشراء التي ترجّح المحتوى المحلي تحسب الإنفاق عادةً: أي نسبة من قيمة العقد يسلّمها كيان محلي. وهذا مؤشّر معقول ويُقلّل من شأن هذه الحالة.

اشتراك تنظيف متكرّر في الخارج هو، بلغة المحتوى المحلي، أقرب إلى استيراد صافٍ. رسم خدمة، يقدّمه أشخاص ومرافق في مكان آخر، يُجدَّد سنوياً، بلا عمل محلي يُذكر وراء علاقة الحساب.

والجهاز المركَّب داخل البلد ليس محلياً بالكامل أيضاً — العتاد والبرمجيات مستوردان، ولن يتظاهر هذا الدليل بغير ذلك. لكن انظر إلى ما يحيط به: تركيب مادي، وتكامل شبكي، وتصميم سياسة، وبناء خطّ أساس على الحركة المحلية، وضبط، ومراقبة، واستجابة حوادث، وتخطيط سعة، واختبار، وتدريب أشخاص على ذلك كله.

وعلى أفق خمس سنوات، الفرق ليس الفاتورة. الفرق هل صار في البلد عدد أكبر من الناس يعرفون كيف يُدافَع عن خدمة بحجم وطني في نهاية المدة عمّا كان في بدايتها.

أين يهمّ اختيار الجهاز فعلاً

خاصيتان توزّعان التعلّم بشكل مختلف، وتستحقّان الدخول في كرّاس.

الأولى هل يُدرَّب منطق الكشف ويُنفَّذ على بنية العميل. وحيث يكون كذلك، فالضبط عمل فريقك والمعرفة الناتجة أصل محلي، وهي الخاصية التي تربط قرار تجهيز بنتيجة قدرة لا بنتيجة توطين بيانات فحسب. وحيث يعتمد التصنيف على خدمة معلومات يشغّلها المصنّع، يقع الضبط الأثمن داخل تلك الخدمة، ويضيق الدور المحلي نحو تشغيل ما يُورَّد. وكلاهما تصميم مشروع، والثاني أقدر جاهزاً في أحيان كثيرة؛ إنما يضعان التراكم في مكانين مختلفين.

والثانية هل التشغيل قابل للانتقال. نموذج يشغّل فيه المصنّع أو شريكه المنصّة إلى ما لا نهاية ينتج النتيجة نفسها التي ينتجها التنظيف الخارجي بخطوات إضافية — العتاد في البلد والكفاءة ليست فيه. اسأل كتابةً: في أي مدة يستطيع فريق العميل تسلّم التشغيل، وما التدريب المشمول، ومن يعتمده. والأجوبة تتفاوت تفاوتاً واسعاً في السوق ونادراً ما تظهر في وثيقة فنية.

الجهاز	الفحص اليومي في الخارج	الفحص اليومي داخل البلد
من يشاهد الهجوم بتفاصيله	مركز عمليات المزوّد	فريق عملياتك أنت
ماذا تنتج الحادثة داخلياً	تقرير موجز وسطر في فاتورة	سياسة مضبوطة ودليل مُتمرَّن ومهندس تدرّب
أين تتراكم المهارة خلال خمس سنوات	في مؤسسة المزوّد	في سوق العمل الوطني
المحتوى المحلي في الصفقة	رسم خدمة متكرّر، خارجي في معظمه	عتاد وتكامل وتشغيل وتدريب
الوضع إن انتهت العلاقة	القدرة تغادر مع العقد	القدرة تبقى، والعتاد والناس كذلك
ما يُظهره رسم تدفّق البيانات	قفزة معالجة عابرة للحدود تحتاج إلى تبرير	لا قفزة للحركة اليومية
ما لا يُظهره الرسم	أن التعلّم عبر الحدود أيضاً	أنه لم يعبر

الصفّان الأخيران هما الحجة. كل نقاش عن التوطين يغطّي البيانات، ولا يكاد أحد يغطّي الخبرة — والخبرة هي الجزء الذي يتراكم.

حدّ الحجة

ثلاثة تحفّظات صادقة.

السعة ليست مسألة سياسات. لا قدر من القدرة المحلية يغيّر أن هجوماً أكبر من وصلتك قد فاز قبل أن ترى أجهزتك شيئاً. والسعة العليا تبقى ضرورية، والمؤسسة ذات التعرّض التيرابتي الحقيقي التي ترفض السعة السحابية بحجة القدرة تكون قد خلطت تفضيلاً بتصميم.

السرعة تغلب الاستراتيجية أحياناً. مؤسسة بلا دفاع الآن وتحت هجوم ينبغي أن تشتري أسرع جواب كافٍ متاح، وهو غالباً خدمة عليا تُفعَّل هذا الأسبوع. القدرة تُبنى بالسنوات والانقطاعات تقع بعد الظهر.

التشغيل المحلي التزام لا مشترى. جهاز لا يشغّله أحد أسوأ من خدمة يشغّلها كفء. وحجة القدرة لا تؤتي ثمرها إلا إذا وظّفت المؤسسة ودرّبت وتمرّنت فعلاً — ومن لا ينوي ذلك ينبغي أن يشتري الخدمة وأن يكون صريحاً في السبب.

ما يوضع في الكرّاس

اذكر نسبة العمل المسلَّم الذي يُؤدّى داخل البلد بحسب الدور. واذكر المدة التي يستطيع فيها فريق العميل تسلّم التشغيل الكامل، وما التدريب والاعتماد المشمولان. واذكر ما يحتفظ به العميل — عتاداً وإعدادات ومعرفة وسجلات — إن انتهت العلاقة. واذكر هل يُدرَّب الكشف ويُنفَّذ على بنية العميل أم يعتمد على خدمة خارجية، وكيف يتدهور إن تعذّرت. واشترط أن يُنفّذ فريق العميل تمرين التحويل، لا أن يعرضه المورّد.

والبند الأخير أرخصها وأكشفها. قدرة لا يستطيع تمرينها إلا المورّد قدرة لا يملكها البلد.

المصادر والقراءة الإضافية

أهداف البرنامج التنموي منشورة من الدولة وهي المصدر الأوّلي الصحيح لأي إطار سياسات؛ ولا شيء في هذا الدليل يتوقّف على هدف رقمي أو جدول زمني أو مبلغ، ولا يُذكر شيء من ذلك هنا. وللتحليل التنظيمي المجاور انظر الضوابط الأساسية وإطار البنك المركزي.