التحقيق في التجسس التجاري: كيف تحفظ الدليل قبل أن تواجه الموظف

أغلب قضايا «التجسس التجاري» التي تصل إلى مكتب محامٍ لا تنكسر لأن الشركة لم تجمع أدلة، بل لأنها جمعت الأدلة بعد أن تكون قد أفسدتها. يصل الإبلاغ من مدير قسم: أحد الموظفين ينسخ ملفات الأسعار إلى بريده الشخصي قبل انتقاله إلى منافس. فيتحرك مسؤول تقنية المعلومات بحسن نية: يعيد تعيين كلمة مرور الحساب، ويغلق الجهاز، ويطلب من الموظف تسليم حاسوبه، ثم يجلس معه في غرفة اجتماعات لثلاث ساعات يسأله «لماذا فعلت هذا؟». بعد شهر تصبح القضية ملفًا يُعرض على محكمة أو لجنة عمالية، وفيه لقطة شاشة لا يُعرف من أين جاءت، وملف بريد صُدِّر بعد إعادة تعيين كلمة المرور، ومحضر اجتماع كتبه مدير لا يتذكر ترتيب الأسئلة. هذه القضية لم تخسر لأن الموظف بريء، بل لأن الدليل الذي يثبت براءته أو إدانته اختفى في أول اثنتي عشرة ساعة.

هذا الدليل مكتوب للجهة التي تتحرك أولًا في الشركة: المدير القانوني، أو مدير الأمن، أو المسؤول الذي يتلقى الشكوى. وهو مبني على فكرة واحدة: التحقيق في تسريب معلومات مؤسسية ليس بحثًا عن نيّة سيئة، بل إثبات لثلاث وقائع منفصلة، لكل واحدة أثر رقمي مختلف، ولكل واحدة اختبار قانوني مختلف. من يخلط بينها يبني قضية تنهار عند أول سؤال من الخصم.

ويُفترض في كل سطر أنك تملك الأصل المُحقَّق فيه، وأن لديك تفويضًا داخليًا مكتوبًا بالتحقيق، وأن الغرض دفاعي: حماية أسرار شركتك ومعرفة ما حدث فعلًا — لا مراقبة حياة موظف، ولا انتزاع اعتراف، ولا تفتيش في حسابات لا تملكها. الحدود القانونية لهذا التحقيق ليست ملحقًا في نهاية المقال، بل شرط لصلاحية الدليل نفسه، وسنعود إليها بأرقام مواد محددة.

ثلاث وقائع تُسمّى كلها «تجسسًا»، ولا يثبتها الدليل نفسه

كلمة «تجسس» في محضر الشكوى تخفي ثلاث وقائع مختلفة، ومسار الإثبات في كل منها مختلف. الأولى: مهاجم خارجي دخل إلى أنظمتك. الثانية: موظف حالي يبيع وصولًا أو يرسل بيانات بشكل دوري. الثالثة: موظف يغادر ويحمل معه ما يستطيع حمله. الفارق ليس أكاديميًا: في الحالة الأولى تبحث عن أثر اختراق، وفي الثانية عن نمط سلوك متكرر عبر أسابيع، وفي الثالثة عن نافذة زمنية محدودة حول تاريخ الاستقالة. من يفتح تحقيقًا بنموذج الحالة الأولى على واقعة من النوع الثالث سيجد «لا شيء» ويستنتج خطأً أن لا تسريب حدث.

الواقعة	السؤال الذي يُجاب عنه	الأثر الذي يحسم الأمر عادة	الخطأ الشائع
مهاجم خارجي	كيف دخل، وماذا أخذ؟	وصول إلى نظام من عنوان غير معتاد، وحساب خدمة أُنشئ في وقت الحادثة	تغيير كلمات المرور قبل تصدير سجلات المصادقة
موظف يبيع وصولًا أو يسرّب دوريًا	ما الذي نقله، ومن استقبله، ومنذ متى؟	قاعدة تحويل في البريد، أو تطبيق طرف ثالث مُصرَّح له بالقراءة، أو نمط تنزيل متكرر في أوقات غير معتادة	الاكتفاء بحجم التنزيل دون إثبات الوجهة
موظف يغادر	ماذا أخذ، وماذا بقي له وصول إليه بعده؟	مقارنة آخر وصول إلى مستودع الملفات مع آخر يوم عمل، وسجل توصيل الملفات إلى أجهزة خارجية	تعطيل الحساب فورًا قبل تصوير حالة الصندوق وقواعد التحويل

لاحظ أن العمود الثالث لا يذكر اعترافًا في أي سطر. الاعتراف دليل ضعيف في هذه القضايا لأنه يُنتزع في سياق غير متكافئ، ويمكن الطعن فيه بأنه كان تحت تهديد بالفصل. الأثر التقني، إن حُفظ بطريقة سليمة، لا يتراجع أمام القاضي ولا ينسى تفاصيله بعد ثلاثة أشهر.

قبل أي شيء: افصل «الوصول» عن «النسخ» عن «الخروج»

هذا هو التصحيح المنهجي الأهم في كل التحقيق، وأكثره إهمالًا في التقارير المكتوبة بالعربية. الواقعة التي تهمك ليست «الموظف وصل إلى الملف»، بل ثلاث وقائع متتابعة: هل كان له حق الوصول؟ هل نُسخت البيانات فعلًا؟ هل خرجت من محيط الشركة؟ إن ثبت الأول وحده فلا جريمة، لأن الوصول قد يكون مشروعًا تمامًا ضمن صلاحياته. وإن ثبت الأول والثاني دون الثالث فتكون أمام مخالفة سياسة داخلية قد تستوجب إنذارًا لا أكثر. وإن ثبتت الثلاثة، تصبح أمام قضية إفشاء أسرار عمل تُعرض على جهة قضائية، وتفتح باب التعويض عن الضرر.

الحلقة	ما يجب إثباته	أين يوجد الدليل	ما الذي يهدمه
الوصول	أن الحساب استُخدم، ومن أي جهاز وعنوان، وفي أي وقت	سجلات المصادقة، وسجلات الوصول إلى تطبيقات العمل السحابية، وسجلات الشبكة الخاصة الافتراضية	مشاركة كلمة المرور بين زملاء، أو جلسة مفتوحة على جهاز مشترك
النسخ	أن البيانات انتقلت من موضعها إلى موضع آخر داخل نطاق سيطرتك	سجلات تنزيل الملفات، وسجلات مزامنة عميل التخزين السحابي، وأحداث النسخ إلى وسائط خارجية	الحذف التلقائي للسجلات المحلية عند إعادة تشغيل الجهاز أو مسحه
الخروج	أن البيانات غادرت محيط الشركة إلى وجهة لا تملكها	سجلات بوابة البريد، وقواعد التحويل، وسجلات الرفع في المتصفح، ونطاقات الوجهة في حركة الشبكة	عدم تفعيل سجلات البوابة، أو الاحتفاظ بها مدة أقصر من الفترة التي يحتاجها التحقيق

الفصل بين الحلقات ليس تنظيمًا شكليًا، بل هو ما يسمح لك بالإجابة على السؤال الذي سيُطرح في أول جلسة: «هل تستطيع أن تقول ما الذي خرج بالتحديد؟» الشركة التي تجيب «ملفات كثيرة» تخسر، والتي تجيب «أربعة ملفات، أسماؤها كذا، خرجت في ثلاث رسائل إلى عنوان بريد خارجي في تواريخ محددة» تُثبت الضرر وتُحدد تعويضه.

الساعة الأولى: احفظ قبل أن تواجه

القاعدة التي لا استثناء لها: لا تُجرِ أي إجراء تغييري — تعطيل حساب، إعادة تعيين كلمة مرور، سحب جهاز، إغلاق جلسة — قبل أن تلتقط حالة النظام كما هي. تغيير كلمة المرور يُنهي جلسات نشطة ويقفل مسار أثر قائم، وتعطيل الحساب قد يوقف قاعدة تحويل بريد نشطة كانت هي الدليل الوحيد على الوجهة، وإعادة تشغيل الجهاز تُفقد محتوى الذاكرة وملفات الأحداث المؤقتة. أما إغلاق الجهاز بحسن نية «حتى لا يُلمس» فقد يفعّل تشفير القرص عند أول إقلاع لاحق.

الترتيب العملي الذي ينجح في الممارسة أربع خطوات: صوّر حالة صندوق البريد (قواعد التحويل، والتفويضات، وتطبيقات الطرف الثالث المصرح لها)، ثم صدّر نطاق السجلات الذي يغطي الفترة المشتبه فيها وأوسع منها ثلاثين يومًا، ثم احسب بصمة رقمية على الملفات المصدرة ووقّع عليها، ثم — وبعد ذلك فقط — قيّد الوصول. هذه الخطوات تحتاج من مهندس واحد ساعتين إلى أربع ساعات، وتحدد ما إذا كان الملف قابلًا للاستخدام بعد ستة أشهر.

وهنا يقع الخطأ الثاني: سؤال الموظف في اليوم الأول. المقابلة ليست خطوة جمع للمعلومات في هذه المرحلة، بل خطوة تدمير للأدلة. بمجرد أن يعرف الموظف أن هناك تحقيقًا، تصبح كل قاعدة تحويل قابلة للحذف في دقيقة، وكل ملف في متناول اليد قابلًا للمحو. لهذا تسبق المرحلة التقنية المرحلة البشرية دائمًا: احفظ، ثم اصدّر، ثم استخرج الأسئلة من السجلات، ثم قابل الموظف بأسئلة مبنية على ما وجدته لا على ما تشك فيه.

عمر السجل يحدد عمر القضية، لا شدة الاتهام

هذه فقرة تُقرأ غالبًا بعد فوات الأوقات. المدة التي تحتفظ بها منصات البريد والسحابة بسجلاتها ليست تفصيلًا إداريًا، وهي تحديدًا ما يُقاس عند تصميم مركز العمليات الأمنية، بل هي السقف الزمني الذي يحدد ما يمكن إثباته. والقرار الذي يحددها اتُّخذ قبل سنتين في اجتماع ترخيص، ولم يخطر ببال أحد أنه قرار في قضية مستقبلية.

المنصة	مدة الاحتفاظ الافتراضية	ما يمكن تمديده
Microsoft 365، سجلات التدقيق الموحّدة (Audit Standard)	180 يومًا للسجلات التي تُنشأ بعد 17 أكتوبر 2023	سنة كاملة عبر الترخيص الأعلى (Audit Premium أو E5) لسجلات Exchange وSharePoint وOneDrive وEntra، و180 يومًا لبقية الأحمال؛ ويمكن الوصول إلى عشر سنوات بترخيص إضافي مخصص
Google Workspace، سجلات المشرف	ستة أشهر، ولا يستطيع المشرف تغيير المدة ولا حذف الأحداث	لا شيء في السجلات نفسها؛ والتمديد يكون عبر Vault للمحتوى لا للسجلات
سجلات الشبكة والجدار الناري والوكيل	تعتمد على إعدادك أنت، وكثير من المؤسسات يضبطها على 30 أو 90 يومًا	قابلة للضبط حسب حجم التخزين وسياسة الاحتفاظ
أجهزة المستخدمين	تتغير وتُمسح عند إعادة التثبيت أو استبدال القرص	لا شيء بعد المسح؛ لذلك تُصوَّر الهيئة الأصلية قبل أي إجراء

الاستنتاج العملي: إذا كانت الشكوى تتعلق بواقعة حدثت قبل سبعة أشهر، ولم تكن لديك سجلات مدفوعة الأمد ولا سجلات شبكة محفوظة، فأنت لا تملك قضية تقنية، بل تملك شبهة. وهذا ليس سببًا للتوقف عن التحقيق، لكنه سبب لصياغة نطاقه بصدق: ما يمكن إثباته اليوم هو الوصول والنسخ داخل محيطك إن كانت سجلاتك تغطي الفترة، أما الخروج إلى وجهة خارجية فقد يكون خارج قدرتك، وكتابة ذلك في التقرير أفضل من ملء الفراغ باستنتاج.

ما يُحفظ بالاسم: قائمة الاستخراج الأولى

القائمة التالية هي ما يُطلب في أول جلسة استخراج، بالطريقة نفسها التي تُدار بها عمليات استرجاع الملفات بعد حادثة فدية، مرتبة بحسب ما تجيب عنه. وهي ليست قائمة أدوات، بل قائمة أسئلة: كل بند موجود لأنه يجيب على سؤال سيُطرح عليك لاحقًا، وغيابه يعني أنك ستدفع ثمنه في مرحلة الطعن.

البند	السؤال الذي يجيب عنه	ملاحظة تنفيذية
سجلات تدقيق صندوق البريد، ومنها أحداث الوصول التي تنشئها المنصة لغير مالك الصندوق مثل MailItemsAccessed	هل قرأ أحد غير صاحب الحساب بريدًا، أم أن الحساب نفسه قرأه؟	تُصدَّر للفترة المشتبه فيها وأوسع منها؛ وتُحفظ بصيغة لا تُعدَّل
قواعد البريد: قاعدة تحويل، أو تفويض صندوق، أو قاعدة حذف تلقائي	إلى أين كان البريد يُوجَّه، ومنذ متى؟	تُصوَّر قبل أي تغيير على الحساب؛ وقاعدة التحويل تنجو من تغيير كلمة المرور
تطبيقات الطرف الثالث المصرح لها بالوصول إلى البريد أو الملفات	هل مُنح تطبيق خارجي قراءة دائمة للبيانات؟	سجل التصريح يحتوي اسم التطبيق ونطاق صلاحياته وتاريخ الموافقة
سجلات تنزيل الملفات ومزامنتها في التخزين السحابي	كم عدد الملفات التي نُسخت، وأي مجلدات؟	تُقارَن بأحجام الملفات لتقدير الحجم الحقيقي لا عدد الملفات
أحداث توصيل الأجهزة الخارجية على جهاز العمل	هل نُسخت بيانات إلى وسيط قابل للإزالة؟	مفاتيح USBSTOR في سجل ويندوز، وسجل setupapi، وملفات الاختصارات في مجلد Recent
سجلات المصادقة والوصول عن بعد	من أي جهاز وعنوان دخل الحساب؟	تُطبَّع المنطقة الزمنية إلى التوقيت العالمي قبل بناء أي خط زمني
سجلات الدخول الفعلي (بطاقة، بصمة، بوابة)	هل كان الشخص في المبنى وقت الحدث؟	تُستخدم لتصحيح افتراض أن الجهاز يعني صاحبه
سجلات الطباعة والمسح الضوئي	هل طُبعت مستندات لم تُرسل إلكترونيًا؟	سجل خدمة الطباعة يُفعَّل يدويًا في كثير من البيئات، وقد يكون فارغًا

السطر الثالث يستحق وقفة: أكثر ما يفوت المحققين هو أن البريد لا يُسرَق دائمًا بالتنزيل. صندوق بريد واحد يمكن أن يُقرأ لسنة كاملة دون أن يغادر منه ملف واحد، عبر تطبيق خارجي حصل على موافقة قراءة من صاحب الحساب أو من مشرف غير منتبه. في هذه الحالة لا يوجد تنزيل تبحث عنه، بل يوجد سجل تصريح واحد وتاريخ موافقة — وهذا هو الدليل كله.

سلسلة الحيازة بالشكل الذي يقبله القضاء السعودي

هنا يتوقف معظم التقارير التقنية عن العمل، ولا يخطئ فيها المهندس بل القالب. نظام الإثبات السعودي يعالج الدليل الرقمي بصراحة، ولم يتركه لفكرة «الخبرة الفنية» العامة. المادة الثالثة والخمسون تعرّفه بأنه كل ما يُستخلص من الحاسوب أو أي وسيلة تقنية أخرى ويستند إلى سجلات رقمية. والمادة الخامسة والخمسون تعطيه حجية الكتابة. والمادة السادسة والخمسون تمنح الدليل الرقمي الرسمي حجية المحرر الرسمي، بينما تعمل المادة التاسعة والخمسون على أن يكون غير الرسمي كالمحرر العادي. أي أن السجل الذي تصدّره من منصتك ليس «معلومة» في نظر المحكمة، بل محرر — وللمحرر شروط.

حكم النظام	ما يعنيه للمحقق عمليًا
المادة 55: للدليل الرقمي حجية الكتابة	لا حاجة إلى «إثبات» أن الملف الرقمي دليل، بل إلى إثبات صحته ومصدره
المادة 57: الدليل الرقمي غير الرسمي حجة على من صدر منه، إلا إذا أنكره أو أثبت عدم صحته أو عدم صحة ما نُسب إليه فيه	الطعن سيكون على صحة الاستخراج لا على وجود الواقعة؛ هنا تُهزم الملفات التي صدّرها شخص ثم «رتّبها» في جدول
المادة 63: على مقدم المستخرج بيان نوع الدليل الرقمي ومضمونه، وتمكين الخصم من نسخه، وحفظ الهيئة الأصلية؛ وإذا فند الخصم المستخرج وجب مطابقته بسجله الرقمي	الملف الأصلي لا يُستبدل أبدًا بملف مشتق، والنسخة المقدمة تُطابق بالأصل عند الاعتراض

ما يترجمه هذا إلى إجراء يومي بسيط: كل ملف يُستخرج يُحفظ بصيغته الأصلية دون تحرير، ويُسجَّل معه من استخرجه وبأي أداة وإصدارها، وتاريخ الاستخراج بالتوقيت العالمي، وبصمة SHA-256 محسوبة عند الاستخراج ومعاد حسابها عند كل نقل. ويُحفظ الملف على وسيط للقراءة فقط، وتُسجَّل كل عملية وصول إليه في سجل مستقل. هذه ليست إجراءات «مثالية» — هي الحد الأدنى الذي يجعل المستخرج قابلاً للمطابقة بسجله الرقمي عند أول اعتراض.

والخطأ الذي يقع في أغلب الملفات التي راجعتها: مستخرج مكتوب على شكل جدول مُلخَّص أنشأه المحقق في ملف Excel، مع لقطة شاشة للسجل الأصلي. هذا لا يُطابق شيئًا. عند الاعتراض، سيُطلب منك السجل الخام كما أنشأته المنصة، وإن لم تكن قد احتفظت به قبل انتهاء مدة الاحتفاظ، فلا يوجد ما تُطابق به — وتصبح القضية قولًا مقابل قول.

الخط الفاصل: ما يجوز على أنظمة الشركة وما لا يجوز على الإنسان

التحقيق المشروع والمراقبة غير المشروعة يستخدمان الأدوات نفسها أحيانًا، ويفترقان في ثلاثة عناصر فقط: ملكية الأصل، ووجود سند مكتوب، ونطاق الغرض. الأصل الذي تملكه الشركة (جهاز مُسلَّم للعمل، حساب بريد مؤسسي، خادم ملفات) يخضع لسياسة استخدام مقبولة معلنة، وتفتيشه في حدود تحقيق محدد جائز. أما الجهاز الشخصي، والحساب الشخصي، والمحادثات الخاصة على تطبيق شخصي — بما في ذلك أي حديث عن اختراق هاتف شخصي لا تملكه أنت —، فليست «أصولًا للشركة لأنها على شبكتها» — وهذا هو الخطأ الذي يوقع الشركة في مسؤولية أكبر من الجريمة الأصلية.

النشاط	سنده المطلوب	الخطر عند تجاوزه
فتح ملفات العمل على جهاز مُسلَّم للعمل	سياسة استخدام مقبولة موقّعة تُنبّه إلى المراقبة والتحقيق	الطعن في مشروعية الدليل إن لم تكن السياسة معلنة قبل الواقعة
تفتيش بريد الموظف المؤسسي	صلاحية إدارية على الصندوق وتفويض قانوني داخلي مكتوب	إن كان الصندوق يُستخدم لمحادثات شخصية، فالمسار يحتاج ضبطًا وفصلًا واضحًا
الاطلاع على محادثات تطبيق شخصي (واتساب، تلغرام)	لا سند يجيزه لمجرد وجوده على جهاز العمل؛ يحتاج مسوغًا نظاميًا مستقلًا وغالبًا أمرًا قضائيًا	مخالفة نظام مكافحة جرائم المعلوماتية، وانقلاب الموظف من مشتبه به إلى متضرر
تثبيت أداة مراقبة على جهاز شخصي بموافقة «مبهمة»	لا تكفي موافقة عامة في عقد انضمام؛ يلزم إفصاح محدد بالغرض والمدة والنطاق	معالجة بيانات دون أساس نظامي، وتعريض الشركة للتعويض

نظام مكافحة جرائم المعلوماتية يوضح حجم الخطر. المادة الثالثة تعاقب بالسجن حتى سنة وغرامة حتى خمسمائة ألف ريال، أو إحداهما، على التنصت على ما يُرسل عبر الشبكة المعلوماتية أو أحد أجهزة الحاسب «دون مسوغ نظامي صحيح» أو التقاطه أو اعتراضه. والمادة الأولى في تعريفاتها تعرّف «الالتقاط» بأنه مشاهدة البيانات أو الحصول عليها دون مسوغ نظامي صحيح — أي أن مجرد النظر إلى بيانات لا يحق لك النظر إليها يدخل في التعريف، وليس النسخ فقط. أما المادة الخامسة فترفع العقوبة إلى أربع سنوات وثلاثة ملايين ريال في حال الدخول غير المشروع لإلغاء بيانات خاصة أو حذفها أو تدميرها أو تسريبها أو تغييرها أو إعادة نشرها. والنتيجة العملية: من يجمع الدليل بطريقة غير مشروعة لا يخسر الدليل فقط، بل يفتح ملفًا ضده.

بيانات الموظف الشخصية داخل التحقيق: ما يفرضه نظام حماية البيانات

حتى في التحقيق المشروع، أنت تعالج بيانات شخصية لشخص محدد، ويخضع ذلك لنظام حماية البيانات الشخصية السعودي لا لسياسة الشركة وحدها. المادة الخامسة تجعل الموافقة شرطًا لمعالجة البيانات الشخصية ما لم يوجد نص يجيز خلافها، والمادة الثانية عشرة تفرض أن تكون سياسة الخصوصية متاحة عند الجمع ومحددة للغرض والأساليب. أما المادة الرابعة عشرة فتجعل تصحيح البيانات واجبًا، والمادة الخامسة عشرة فتقيد الإفصاح بها. الأثر المباشر على التحقيق ثلاثة أمور: أن يكون الغرض محددًا ومكتوبًا (معرفة تسريب محدد، بمدة محددة، لا «مراقبة عامة للموظفين»)، وأن يقتصر جمعك على ما يخدم هذا الغرض، وأن تُتلف ما لا يخدمه بعد انتهاء التحقيق أو حفظه في نطاق ضيق للمدة التي تحتاجها القضية.

والحد الذي لا يعبره تحقيق مشروع: أن تصبح بيانات صحة الموظف، أو علاقاته الأسرية، أو ميوله السياسية، جزءًا من ملف التسريب. هذه بيانات لا يخدمها الغرض، وجمعها يحوّل التحقيق من حماية سر تجاري إلى معالجة غير مشروعة، ويعطي الخصم سببًا لطلب إسقاط كل الملف.

نافذة الخروج: الفترة القابلة للقياس

في الحالات التي تخص موظفًا يغادر، لا يهم السؤال «هل أخذ شيئًا» بل «في أي فترة أخذ». حين تُرسم هذه الفترة تصبح القضية قابلة للقياس: آخر ثلاثون يوم عمل، أو الفترة بين تاريخ تقديم الاستقالة وتاريخ آخر يوم، أو الفترة بعد آخر يوم إن بقي وصول. في كثير من الحوادث يكون التسرّب الفعلي بعد نهاية العلاقة، من حساب لم يُعطَّل، أو من جهاز لم يُستَرد، أو من رابط مشاركة أُرسل إلى بريد شخصي قبل الخروج بأسبوع وظل صالحًا بعد شهر.

خمس نقاط تُقاس في كل حالة خروج، وكل واحدة منها تنتج رقمًا — وهي أيضًا ما يقيس أثر خطة الثقة الصفرية:

• الفرق بين تاريخ تقديم الاستقالة وتاريخ تعطيل الحساب الفعلي، بالأيام.
• عدد الأنظمة التي بقي فيها وصول بعد آخر يوم عمل (صندوق بريد، مستودع ملفات، نظام محاسبي، مستودع شيفرة، بوابة نشر).
• عدد الملفات التي نُزّلت في الأسبوعين الأخيرين مقارنة بمتوسطه في الأشهر الستة السابقة.
• عدد قواعد التحويل أو التفويضات التي أُنشئت في تلك الفترة، ووجهتها.
• عدد رموز الوصول (Tokens) التي لم تُلغَ، وتطبيقات الطرف الثالث التي بقيت مصرحًا لها بالقراءة.

هذه القائمة تصلح أيضًا كأداة منع: كل رقم منها يمكن خفضه قبل الحادثة التالية، وكلها تُقاس على حالة حقيقية لا على افتراض.

قاعدة التحويل التي تنجو من إعادة تعيين كلمة المرور

لو كان عليّ اختيار أثر واحد يُحفظ أولًا في كل تحقيق من هذا النوع، لاخترت قواعد البريد — وهو المدخل نفسه الذي نبدأ به في التحقيق في احتيال البريد المؤسسي. قاعدة تحويل إلى عنوان خارجي تُنشأ في دقيقة واحدة، وتستمر في العمل بعد أن ينسى الموظف كلمة مروره، وبعد أن يُغيَّر الجهاز، وبعد أن تنتهي خدمته إن لم يُعطَّل الصندوق. وهي أيضًا الأثر الذي يُثبت «الخروج» لا مجرد «النسخ»، لأنها تحمل عنوان الوجهة. وفي كثير من الحوادث لا يُكتشف التسرّب إلا من مراجعة دورية لهذه القواعد، لأن الرسائل نفسها لا تُحذف من الصندوق ولا تظهر في أي تقرير فشل.

ما يُفحص في البريد تحديدًا: قواعد التحويل وقواعد إعادة التوجيه، والتفويض الكامل للصندوق (FullAccess) على حسابات أخرى، وقواعد الحذف التلقائي التي تمسح رسالة بعد قراءتها أو بعد وصولها، والتفويض بالنيابة عن المرسل (SendAs وSendOnBehalf)، وتطبيقات الطرف الثالث المصرح لها، وبروتوكولات الوصول القديمة التي لا تدعم المصادقة الحديثة. هذه الأخيرة تهم لأنها الطريق الذي يستخدمه من يحاول تجاوز المصادقة متعددة العوامل دون أن يظهر له تنبيه.

وفي السحابة نفس المنطق بصيغة أخرى — ومنها ما يُكشف عبر اختبار أمن الواجهات البرمجية عندما يكون التسريب عبر واجهة لا عبر واجهة استخدام: رابط مشاركة أُنشئ لغرض مشروع ثم بقي صالحًا للجميع (Anyone with the link)، أو مجلد مشترك مع حساب خارجي قبل سنة، أو مزامنة عميل تخزين على جهاز شخصي تعمل في الخلفية. كل هذه صور من الفعل نفسه: وصول صار دائمًا لأن أحدًا لم يُنهه.

المستودعات والشيفرة: ما يتذكره نظام التحكم في الإصدارات فعلًا

إذا كانت الأصول المسروقة شيفرة أو تصميمات أو نماذج، فإن التاريخ الكامل موجود في نظام التحكم في الإصدارات، ولا يمكن محوه بسهولة. سجل الاستنساخ (Clone) يُظهر من أي عنوان وما نوع العميل، وسجل الدفع يُظهر من دفع وماذا، وتاريخ إنشاء الفروع يُظهر ما إذا أُنشئ فرع كامل قبل الاستقالة بأسبوع ونُقل بعدها. والأهم: الملفات المحذوفة من الفرع الرئيسي ما زالت موجودة في تاريخ المستودع، فحذفها في اليوم الأخير لا يمحو أثرها.

ورقة الفحص هنا قصيرة: من استنسخ المستودع في آخر تسعين يومًا ومن أي نطاق، ومن دفع إلى فروع غير رئيسية في تلك الفترة، وهل أُضيف مفتاح وصول شخصي (Personal Access Token) جديد أو مفتاح نشر (Deploy Key)، وهل نُقل المستودع أو نُسخ إلى مساحة عمل خارجية، وهل ظهرت أسرار (مفاتيح، كلمات مرور، رموز API) مكتوبة في الشيفرة نفسها — وهو موضوع مراجعة الشيفرة الآمنة — — وهذا الأخير قد يكون تسريبًا حدث قبل أي موظف مشتبه به.

وتُقاس النتيجة برقمين: عدد عمليات الاستنساخ من نطاقات لا تملكها الشركة، وعدد الأسرار المكتوبة في الشيفرة التي لم تُدوَّر بعد. الأول جواب على سؤال «هل خرجت الشيفرة»، والثاني جواب على سؤال «هل الضرر ما زال قائمًا» — وهو الأهم لأن تدوير المفتاح يُنهي الضرر، أما معرفة اسم الفاعل فلا تُنهيه.

الخط الزمني هو المُخرَج، لا قائمة الملفات

التقرير الذي يقنع جهة قضائية ليس ملفًا فيه «تم العثور على 1,240 ملفًا مشبوهًا»، بل خط زمني واحد يبدأ قبل الحادثة وينتهي بعدها، وفيه لكل حدث: وقته بالتوقيت العالمي، ومصدره (أي سجل بالضبط)، وما يثبته. الخط الزمني يجيب على أسئلة لا تجيب عنها القوائم: هل سبق التنزيل إنشاء قاعدة التحويل أم تبعه؟ هل كان الجهاز متصلًا وقت الرفع؟ هل غادرت الرسالة قبل تعطيل الحساب أم بعده؟

وفي بناء الخط الزمني مشكلتان تقنيتان تُسقطان كثيرًا من الملفات. الأولى فروق التوقيت: سجل البريد بتوقيت عالمي، وسجل الجدار الناري بتوقيت محلي، وسجل الجهاز بتوقيت قد يكون خاطئًا بدقائق أو ساعات؛ تُطبَّع كلها إلى مرجع واحد قبل الرسم. والثانية انحراف ساعة الجهاز: جهاز متأخر أربعين دقيقة يجعل حدثًا يبدو بعد الحادثة وهو قبلها؛ لذلك يُسجَّل انحراف الساعة في التقرير كملاحظة قياس لا كتفصيل هامشي.

ومعيار جودة الخط الزمني سؤال واحد: هل يمكن لشخص لم يشارك في التحقيق أن يعيد بناء ما حدث من الملف وحده؟ إن كان الجواب لا، فالملف ناقص — لا لأن الأدلة ناقصة، بل لأن الربط بينها غير مكتوب.

ما يجب أن يجيب عنه التقرير في صفحة واحدة

التقارير الطويلة التي لا تُقرأ تخدم مؤلفها لا صاحب القرار. الصفحة الأولى يجب أن تُجيب على تسعة أسئلة، وكل واحدة منها بجملة أو رقم:

1. ما الواقعة التي حُقّق فيها، وما تاريخها، وما نطاق التحقيق بالضبط.
2. ما الأصل الذي تعرّض للخطر، وما تصنيفه، وهل هو سر تجاري بحسب المعايير الثلاثة (سرية، وقيمة تجارية ناتجة عن السرية، وخطوات معقولة اتُّخذت لحمايته).
3. هل ثبت الوصول؟ بأي سجل، وفي أي وقت، ومن أي جهاز.
4. هل ثبت النسخ؟ كم ملفًا، وبأي حجم، وفي أي مجلدات.
5. هل ثبت الخروج؟ إلى أي وجهة، عبر أي قناة، وفي أي تواريخ.
6. ما الذي لم يُثبت، ولماذا (سجل غير متاح، مدة احتفاظ منتهية، جهاز غير متوفر).
7. ما الأدلة الموجودة فعليًا في الملف، وبصماتها، وأين الهيئة الأصلية.
8. ما الأثر التجاري القابل للقياس: قيمة العقد، أو تكلفة إعادة التطوير، أو خسارة عميل محدد بتاريخ.
9. ما الإجراءات التي أوقفت الضرر، وما الذي بقي مفتوحًا (مفتاح لم يُدوَّر، حساب لم يُعطَّل، رابط لم يُلغَ).

السؤال السادس هو الأكثر إحراجًا والأكثر قيمة. تقرير يقول بصراحة «لا يمكن إثبات الخروج لأن سجلات البوابة كانت محفوظة ثلاثين يومًا» يُنقذ الشركة من قضية مبنية على استنتاج، ويُظهر للجهة القضائية أن من كتبه يميّز بين ما يعرفه وما يفترضه. أما تقرير يدّعي كل شيء فينهار عند أول سؤال تقني.

المقابلة: من يقودها، ومتى، وبأي أسئلة

المقابلة تأتي بعد أن تُستخرج الأسئلة من السجلات، لا قبل ذلك. وهي ليست جلسة اعتراف، بل جلسة استيضاح تُوثَّق. من يقودها: مسؤول من الموارد البشرية ومسؤول قانوني، ويُفضَّل حضور من لديه معرفة تقنية للرد على التفسيرات البديلة، دون أن يكون هو من يسأل. الموظف يُبلَّغ بأن هناك تحقيقًا، وبما هو موضوعه، وبحقه في مراجعة قانونية، ويُدوَّن ما يقوله باللفظ.

وهنا يظهر سند نظامي يجب أن يعرفه كل صاحب عمل: المادة الثمانون من نظام العمل تجيز الفسخ دون مكافأة أو إشعار أو تعويض إذا ثبت أن العامل أفشى الأسرار الصناعية أو التجارية الخاصة بالعمل، أو استغل مركزه الوظيفي للحصول على مكاسب شخصية — «وبشرط أن يتيح له الفرصة لكي يبدي أسباب معارضته للفسخ». هذه العبارة الأخيرة ليست إجراءً شكليًا: هي الشرط الذي إن غاب سقط الفسخ في اللجنة العمالية حتى لو ثبت الفعل. أي أن الجلسة نفسها جزء من صحة القرار، ولهذا تُوثَّق بالصوت أو بمحضر يُوقَّع، وتُبدأ بطرح الواقعة وإتاحة الرد قبل أي نتيجة.

والأسئلة الفعّالة هي التي تُقابل أثرًا محددًا بسؤال يفتح باب التفسير المشروع: «هذه قاعدة تحويل أُنشئت في 12 من الشهر إلى عنوان خارجي — من أنشأها ولماذا؟» أو «هذا الملف نُسخ إلى وحدة تخزين خارجية الساعة 23:41 يوم 9 — هل كان عملًا رسميًا؟» السؤال المفتوح مثل «لماذا سرّبت الملفات؟» يهدم الجلسة، لأنه يفترض النتيجة ويغلق باب التفسير الذي قد يكون صحيحًا (مثل مقاول طلب نسخة، أو نسخ احتياطي شخصي لجهاز يُصلحه الموظف).

عندما لا يكون التسريب تجسسًا: المبلّغ والمصدر

واحدة من أكبر الأخطاء التي رأيتها: شركة تبدأ تحقيق تجسس على شخص كان يبلّغ عن مخالفة تنظيمية تعرض عملاءها للخطر. هذا ليس تجسسًا، وشنّ تحقيق ضده بوصفه مجرمًا يتحول إلى قضية تشهير وقضية عمل مجتمعة. والتمييز واضح إن نظرت إلى المحتوى والوجهة لا إلى «الملفات التي نُقلت»: ما الذي نُقل، ومن كان المستفيد، وهل كان النقل للكشف عن ضرر أم لتمكين منافس.

وللتوضيح: في الاتحاد الأوروبي، التوجيه 2016/943 يضع في المادة الخامسة استثناءات تُسقط الدعوى عند الإفصاح الذي يهدف إلى كشف مخالفة أو سلوك غير مشروع من أجل المصلحة العامة، وعند الإفصاح لممثلي العمال في حدود سلوكهم المشروع؛ والمادة الثالثة تعتبر الاستحواذ على السر قانونيًا في حالات منها اكتشاف مستقل، أو ممارسة حقوق العمال في المعلومات. أما في المملكة، فنظام العمل يحمي حق العامل في الشكوى، والسياسة الداخلية الوحيدة التي تنفي هذا الحق باطلة. الاستنتاج: قبل أن تُصنّف واقعة بأنها تسريب، اسأل من استقبل المعلومة ولماذا. إن كان المستفيد جهة رقابية أو صحافة أو ممثل عمال، فمهمتك إثبات أن الضرر كان مبررًا لا إثبات وجود المتهم.

وهذا يمتد للتعاون البحثي: الاتفاقيات الدولية لحماية الأسرار التجارية نفسها لا تغطي الإفصاح عن سلوك غير مشروع. فمن يبيع سرًا بناء على طلب من منافس، وضعه مختلف تمامًا عمن أرسل ملفًا إلى جهة تنظيمية لأن منتج الشركة يضر بالمستخدمين. الخط الفاصل هو التمكين مقابل الكشف، لا حجم البيانات المنقولة.

الطُعم على أنظمة الشركة: ما يجوز وما لا يجوز

أداة واحدة فقط من أدوات «الكشف الاستباقي» تصلح في هذا السياق: وثيقة طُعم أو ملف مرجعي على نظام تملكه الشركة، لا قيمة له في العمل، ويُنبَّه في السياسة الداخلية إلى أن الملفات المرجعية قد تكون مراقبة. عندها يصبح أي وصول إلى الملف حدثًا يمكن إثباته، دون تفتيش في سلوك شخصي، ودون اعتراض اتصالات، ودون كاميرا.

وما لا يجوز: طُعم على جهاز شخصي، أو في حساب شخصي، أو حساب وهمي على منصة خارجية يُستخدم لاستدراج الموظف. هذه ليست «مراقبة مشروعة» بل استدراج، وتُسقط الدليل وتفتح مسؤولية. والفرق بينهما ليس في التقنية بل في الملكية والإفصاح: طُعم على نظامك ومعلن في سياستك مشروع؛ طُعم في مساحة لا تملكها وغير معلن ليس كذلك.

وإذا احتجت كشفًا استباقيًا مشروعًا على أنظمتك، فالأداة المناسبة هي اختبار اختراق مُفوَّض لا مراقبة سرية. وفي الحالات التي تحتاج كشفًا استباقيًا حقيقيًا، تُستخدم أدوات الكشف عن التسريب المؤسسي — تصنيف المستندات، ومنع فقدان البيانات، وتنبيهات على الأنماط غير المعتادة — على أنها ضوابط مراقبة داخلية معلنة، لا أدوات تحقيق سرية. الضابط المعلن يمنع الحادثة ويُنتج دليلًا مشروعًا إن وقعت؛ الأداة السرية تنتج دليلًا قابلًا للطعن في أفضل الأحوال.

كيف يُقاس الضرر: ثلاثة أرقام لا سطر إنشائي

الضرر في قضايا الأسرار التجارية يُطالب به بالتعويض، ويحتاج تقديرًا لا وصفًا. ثلاثة أرقام تكفي لبناء مطالبة معقولة: تكلفة إعادة إنتاج المعلومة (ساعات تطوير، اختبارات، تجارب فاشلة — لأن هذه هي قيمة ما سُرق فعلًا)، وخسارة محددة تُنسب إلى الواقعة (عقد لم يُجدد، مناقصة خُسرت بسعر مطابق لسعرك الداخلي)، وتكلفة الاستجابة (أيام مهندسين، وأتعاب قانونية، وإعادة بناء الضوابط).

وفي المقابل، هناك رقم رابع يجب أن يُكتب قبل الأرقام الثلاثة: تكلفة ما لم تُثبته. الملف الذي يُطالب بتعويض عن «تسريب كامل قاعدة العملاء» ثم يثبت أن الملفات المنسوخة كانت 12 ملفًا من أصل 4,000 يُفقد المصداقية في الفقرة كلها. المطالبة الدقيقة بأربعة عشر ألف ريال تنجح أفضل من مطالبة بمليون لا سند لها.

والضرر الأهم في معظم الحالات ليس المال: هو استمرار الوصول. الحساب الذي بقي مفتوحًا، والمفتاح الذي لم يُدوَّر، والرابط الذي لم يُلغَ، والتطبيق الذي بقي مصرحًا له. هذه بنود تُقاس بالعدد وتُغلق بإجراء واحد لكل بند، وهي أول ما يجب أن يُنجز قبل أي نقاش قانوني.

ما يمنع التكرار: سبعة ضوابط تُقاس لا تُوصف

بعد أن ينتهي التحقيق، السؤال الذي يستحق الجهد ليس «كيف نعاقب الفاعل» بل «أي ضابط كان غائبًا». الضوابط السبعة التالية هي ما يُغيّر النتيجة في الحادثة القادمة، وكلها قابلة للقياس برقم لا بوصف:

• زمن تعطيل الحساب بعد آخر يوم عمل، بالساعات لا بالأيام، مع إجراء آلي لا يعتمد على مدير ينتبه.
• مدة الاحتفاظ بسجلات البريد والسحابة والشبكة، ومطابقتها مع أطول فترة تحقيق محتملة في مؤسستك.
• مراجعة دورية (شهرية) لقواعد التحويل والتفويضات وتطبيقات الطرف الثالث، بتقرير يُحفظ.
• منع الوسائط القابلة للإزالة على الأجهزة التي تحمل تصنيفًا سريًا، أو تقييدها بسجل موافقات.
• تصنيف المعلومات وحصر السر التجاري في حاوية محددة معروفة للموظفين، لأن ما لا يُعرف أنه سر لا يُحمى.
• سياسة استخدام مقبولة وسياسة خصوصية موظفين مكتوبتان بلغة مفهومة، تُسلَّم قبل منح الوصول لا بعده.
• تدوير الأسرار المكتشفة في الشيفرة، وإلغاء رموز الوصول القديمة، وإعادة تقييم صلاحيات الحسابات الخدمية كل ثلاثة أشهر.

الضابط الخامس يستحق شرحًا لأنه الأكثر إهمالًا في المنطقة العربية: معيار السر التجاري — في اتفاقية تريبس المادة 39 الفقرة 2 وفي معظم الأنظمة الوطنية — يشترط أن يكون صاحب المعلومة قد اتخذ «خطوات معقولة في إطار الظروف» للحفاظ على سريتها. فإذا لم تكن المعلومة مصنّفة، ولم تكن هناك اتفاقية سرية موقّعة، ولم يكن الوصول مقيّدًا بأي شكل، فإنك لا تملك سرًا تجاريًا في نظر المحكمة — تملك معلومة مهمة. وهذا الفرق هو ما يحدد إن كانت القضية قابلة للرفع أصلًا.

ومن الضوابط التي تُقاس أيضًا جهد برنامج التوعية من التصيد، لأن قناة الخروج الأولى في معظم الحوادث هي رسالة لا ثغرة. والضابط السادس يبدو إداريًا وهو قانوني بالكامل: السياسة المعلنة هي ما يحوّل التفتيش من اعتداء إلى إجراء. الشركة التي تُفتّش بريدًا مؤسسيًا دون سياسة سابقة تجد نفسها في موقع المدعى عليه لا المدعي، حتى لو كان ما وجدته يثبت التسريب.

جدول مرجعي: أول ساعة، أول 72 ساعة، ثم الشهر الأول

الفترة	ما يُنجز	المخرج الملموس
أول ساعة	تجميد الإجراءات التغييرية، تصوير حالة الحساب والصندوق وقواعد التحويل، بدء سجل حيازة لكل ملف	ملفان: صورة حالة الحساب، وسجل حيازة موقّع بالتوقيت العالمي
أول 8 ساعات	تحديد نطاق الأصول المتأثرة، وسحب سجلات المصادقة والوصول للفترة المشتبه فيها وأوسع منها	قائمة أصول ومصادر سجلات، مع بيان ما هو متاح وما انتهت مدته
أول 72 ساعة	بناء الخط الزمني الأولي، فحص التطبيقات المصرح لها والوسائط الخارجية، إغلاق ما بقي مفتوحًا من وصول	خط زمني أولي، وقائمة إجراءات إيقاف الضرر منفذة
الأسبوع الأول	مطابقة الأدلة بالهيئات الأصلية، حساب البصمات، صياغة أسئلة المقابلة من السجلات	حزمة أدلة موثّقة، وأسئلة مقابلة مبنية على الأدلة لا على الشك
الأسبوعان 2 و3	المقابلة بتوثيق كامل، تقييم تصنيف الواقعة (تسريب، إهمال، إبلاغ مشروع)، تقدير الضرر	محضر مقابلة، ومذكرة تصنيف قانوني، وتقدير ضرر بثلاثة أرقام
الأسبوع الرابع	التقرير النهائي، وخطة الضوابط السبعة، وقرار الإجراء بحسب نظام العمل	تقرير من صفحة واحدة وتسع إجابات، وخطة إغلاق قابلة للقياس

هذا الجدول ليس وعدًا بإنهاء التحقيق في شهر — القضايا التي تحتاج تعاون جهة خارجية أو استردادًا قضائيًا تأخذ أطول. لكنه يمنع الخطأ الأكثر شيوعًا: أن يبقى التحقيق مفتوحًا بلا مخرج، فيتحول إلى أداة ضغط على موظف ويصبح هو نفسه المشكلة.

التكلفة: أيام مهندس محسوبة، لا سعر معلن

تقدير جهد التحقيق يجب أن يُكتب بما يمكن التحقق منه لا برقم مقطوع. الحساب الذي أستخدمه في التقديرات ثلاثي: عدد الأصول التي ستُجمع منها السجلات، وعدد مصادر السجل لكل أصل، وعمق مطابقة الأدلة بالهيئات الأصلية. جمع سجلات حساب بريد واحد وحده يحتاج من نصف يوم إلى يوم. إضافة جهاز محمول واحد يضيف يومًا إلى يومين إن كان القرص غير مشفّر ومتاحًا، وأكثر إن كان مشفرًا أو تالفًا. إضافة مستودع شيفرة ونظام محاسبي تُضيف يومين إلى ثلاثة. المطابقة والبصمات وكتابة التقرير القابل للعرض تضيف ما بين ثلاثة وستة أيام مهندس لكل قضية، مهما كان حجمها.

أما التكلفة التي لا تُحسب بأيام المهندسين فهي تكلفة التعطيل: مدة بقاء الموظف في موقعه أثناء التحقيق، وأثر ذلك على الفريق، وتكلفة القرار السريع قبل اكتمال الأدلة. وفي حالات كثيرة يكون القرار الأرخص هو تعليق الوصول التقني فورًا مع إبقاء العلاقة العمالية، ثم إكمال التحقيق بهدوء — بدل تعليق الموظف عن العمل قبل أن تعرف ما حدث.

ولهذا لا نضع سعرًا على صفحات الخدمة: الرقم الصحيح يخرج من نطاق مكتوب. ما يمكن قوله بثقة هو الترتيب: جمع السجلات وحفظها أرخص بكثير من تحليلها، والتحليل أرخص من التقاضي، والتقاضي أرخص من الحادثة التالية إن لم تُغلق الثغرة التي سمحت بها. من يُقدّم لك سعرًا قبل أن يسأل عن مدة احتفاظ سجلاتك لا يستطيع تقدير العمل فعلًا.

من ينفّذ: الاستقلال أهم من الشهادة

ثلاثة معايير تختار بها من ينفّذ التحقيق، بترتيب الأهمية. الأول: ألا يكون لديه تعارض مصلحة — مكتب يعمل مستشارًا لشركة المنافس، أو شركة أمن تُدير في الوقت نفسه عقدًا مع الطرف المشتبه به، لا يصلح. الثاني: أن يكون قادرًا على تسليم الهيئة الأصلية مع البصمات بصيغة يقبلها خصم تقني، لا مجرد عرض تقديمي بلقطات شاشة. الثالث: أن يكون قد شهد سابقًا في نزاع مماثل، لأن صياغة التقرير للقضاء مهارة مختلفة عن صياغته للإدارة.

وهذه المعايير تنطبق على التحقيق الداخلي كما تنطبق على التحقيقات الجنائية: التحقيق في تسريب معلومات مؤسسية يبدأ غالبًا بمراجعة أثر رقمي دقيق — سجلات مصادقة، وقواعد بريد، ووسائط خارجية، ونطاقات وجهة — قبل أن يتحول إلى ملف قانوني. ويُفضَّل أن يبدأ بمراجعة معمار الضوابط نفسها: هل تملك ما يجعل هذا الأثر موجودًا أصلًا؟ إن كانت الإجابة لا، فأول عمل ليس التحقيق بل بناء ما يُنتج الدليل، وهذا ما نبدأ به عادة في التحقيق الجنائي الرقمي قبل أي خطوة أخرى.

الحد القانوني في أربع جمل

لأن هذا الموضوع يُقرأ أحيانًا بوصفه دليلًا للوصول إلى حسابات الناس، أُثبت الحدود هنا صريحة. أولًا: لا يُفتَّش إلا أصل تملكه المؤسسة، وبسند مكتوب، وبغرض محدد معلن. ثانيًا: لا تُعترض اتصالات شخصية، ولا يُوصَل إلى حسابات شخصية، ولا يُثبَّت برنامج مراقبة على جهاز شخصي — وهذا ليس خيارًا أخلاقيًا بل حكم المادة الثالثة من نظام مكافحة جرائم المعلوماتية الذي يعاقب على التنصت والالتقاط دون مسوغ نظامي صحيح. ثالثًا: لا تُستخدم أدوات تجسس تجارية على موظف أو على شريك أو على أي شخص؛ التحقيق المشروع يعمل بسجلات أنظمتك لا بأدوات اختراق جهاز إنسان. رابعًا: بيانات التحقيق تُقيَّد بالغرض، وتُتلف أو تُقيَّد بعد انتهاء الحاجة إليها، ولا تُنشر ولا تُشارك خارج نطاق القضية.

من يعرض عليك «كشف كل شيء عن موظف» عبر رقم هاتفه أو حساباته الشخصية لا يبيعك تحقيقًا، بل يبيعك جريمة يعود ضررها عليك أولًا. القضية التي تُبنى على دليل غير مشروع لا تُسقط عند أول طعن فقط، بل تُنشئ للموظف حقًا في التعويض، وتُضعف موقفك في كل نزاع لاحق معه.

الخلاصة: التحقيق يبدأ بالاحتفاظ وينتهي بالضابط

إن أردت جملة واحدة تحمل هذا الدليل كله: القضية لا تُبنى في غرفة المقابلة، بل في الساعتين اللتين تسبقانها، وفي قرار ترخيص اتُّخذ قبل سنتين. كل ما بعد ذلك ترتيب وتوثيق. الشركة التي تحفظ قبل أن تواجه، وتفصل الوصول عن النسخ عن الخروج، وتُطابق مستخرجاتها بهيئاتها الأصلية، وتُصنّف معلوماتها وتُعلن سياستها قبل الحادثة — تملك قضية تُعرض على جهة قضائية بثقة، أو تُغلق الملف داخليًا بقرار لا يُطعن فيه. والشركة التي تبدأ بسؤال الموظف تنتهي بملف لا يُثبت شيئًا، وموظف يعرف بالضبط ما الذي حُذف.

وإذا كان لديك اليوم حادثة مفتوحة، فالبداية ليست اجتماعًا، بل ثلاث خطوات تقنية: صوّر حالة الحساب، وصدّر السجلات وأوسع نطاق متاح، واحسب البصمات وسجّل الحيازة. هذه الخطوات الثلاث تحمي الملف قبل أن يبدأ النقاش القانوني، وهي ما نفعله في أول ساعة من التحقيق الجنائي الرقمي عندما يكون السؤال «ماذا خرج فعلًا» لا «من نلوم».

قراءات مرتبطة داخل الموقع

هذه الصفحات تُكمل الصورة من زوايا مختلفة، وكلها مكتوبة بالعربية وتتعامل مع مسألة الحفظ والقياس بالطريقة نفسها:

• خطة الاستجابة للحوادث السيبرانية — الأدوار والقرارات في أول 24 ساعة، ومن يملك حق إيقاف الخدمة.
• أمن سلسلة التوريد وتقييم الموردين — التحقق من طرف ثالث يملك وصولًا إلى بياناتك.
• تدقيق أمن شبكات الواي فاي المؤسسية — نقاط الوصول غير الموثقة كقناة خروج محتملة للبيانات.
• تقييم الفريق الأحمر: النطاق وقياس الاكتشاف — كيف تُقاس قدرة الاكتشاف بالأرقام بدل الوصف.
• اختبار اختراق تطبيقات الجوال وفق MASVS — ما يُثبت تسريب البيانات من تطبيق مؤسسي.
• اختبار أمن واجهات API — الوصول غير المصرح به إلى بيانات عبر واجهة برمجية لا عبر شاشة.
• المادة 32 من GDPR وتدابير أمن المعالجة — الإطار الأوروبي للالتزام بأمن البيانات الشخصية.
• تكاليف استئجار هاكر أخلاقي — كيف تُقدَّر الأعمال الأمنية بأيام العمل لا بالوعود.
• تبديل الشريحة والاحتيال عبر SIM Swap — كيف يُستهدف حساب الموظف لفتح بريده المؤسسي.
• تتبع أموال الاحتيال في العملات الرقمية — مسار إثبات الوجهة عندما يكون المستفيد خارج الشركة.
• شركات اختبار اختراق المواقع — معايير اختيار الجهة التي تنفّذ العمل الأمني.
• استرجاع البيانات — متى تُستعاد البيانات من وسيط تالف ومتى تكون الاستعادة نفسها إتلافًا للدليل.
• عمليات الفريق الأحمر — اختبار الوصول إلى أصل محدد وقياس ما إذا كانت المراقبة نطقت.
• تقييم الثغرات — البداية المنطقية قبل أي تحقيق: هل يوجد أصل مكشوف يُغني عن التسريب؟
• اختبار الاختراق — ما يثبته اختبار الاختراق وما لا يثبته أبدًا.
• تقوية الأنظمة — الضوابط التي تُقلّل ما يمكن أن يُسرق قبل أن يُسرق.
• تدقيق أمن المواقع — تسريب البيانات عبر تطبيق ويب لا عبر موظف.
• مدونة الأمن السيبراني بالعربية — بقية الأدلة، مرتبة بحسب الموضوع.