المغرب سجل أزيد من 52 مليون محاولة هجوم إلكتروني سنة 2025، أي بزيادة تفوق 68 بالمئة مقارنة بالسنة التي قبلها حسب المديرية العامة لأمن نظم المعلومات (DGSSI)، فيما تجاوزت الخسائر المالية المرتبطة بذلك 2,3 مليار درهم. هذا لم يعد موضوعاً يخص المتخصصين فقط الذين يتحدثون عن “الوضعية الأمنية” في مؤتمرات مغلقة، بل أصبح موضوعاً يمس الخزينة والسمعة، وأحياناً استمرارية النشاط بأكمله بالنسبة لمقاولة لا تتوفر على مسؤول أمني ولا على ميزانية مخصصة لهذا الغرض.
تتبعت هذا الملف لسنوات وأنا أراقب كيف تتفاعل الشركات، المغربية منها والأجنبية، مع الانفجار الهائل في حجم البيانات. والملاحظة تتكرر دائماً بنفس الشكل: أغلب المسؤولين لا يزالون يفكرون بمنطق الجدران والحواجز الإلكترونية، بينما المعركة الحقيقية انتقلت إلى مكان آخر، إلى بيانات أصبحت متنقلة، مكررة، ويصعب تتبع مسارها.
لماذا أصبحت بيانات الشركات هدفاً أولوياً في المغرب
يعيش المغرب مرحلة تحول رقمي متسارع. الإدارات، البنوك، مكاتب المحاسبة، العيادات الطبية، كل القطاعات تحول مساطرها نحو الرقمنة، وغالباً بسرعة تفوق قدرتها على تأمين هذا التحول. والنتيجة أن البلاد أصبحت من بين الوجهات المفضلة للهجمات في القارة الإفريقية، والمقاولات الصغرى والمتوسطة تتحمل وحدها ما يقارب 60 بالمئة من الهجمات المرصودة، ببساطة لأنها تشكل الحلقة الأضعف في سلسلة اقتصادية أصبحت مترابطة أكثر فأكثر.
الحادثة التي بقيت عالقة في الأذهان هي تسريب بيانات الصندوق الوطني للضمان الاجتماعي في أبريل 2025، حين تمكنت مجموعة أطلقت على نفسها اسم Jabaroot DZ من تسريب أزيد من 53 ألف ملف يحتوي على هويات وأرقام حسابات بنكية وكشوفات رواتب لما يقارب مليوني أجير مغربي. وقد وجدت بيانات نحو 500 ألف مقاولة مغربية نفسها معرضة بدورها، من ملفات الموارد البشرية إلى الحسابات البنكية ومعلومات المسيرين. هذه الحادثة ذكّرت بحقيقة كثيراً ما ننساها: محيط الأمان لا يقف عند حدود نظامك المعلوماتي الخاص، بل يشمل كل طرف ثالث تتقاسم معه بياناتك.
التصيد الإلكتروني (phishing) يبقى القناة الأولى للاختراق، إذ يمثل ما يقارب 40 بالمئة من الحوادث المصرح بها، بينما ارتفعت هجمات الفدية الإلكترونية (ransomware) المستهدفة للمقاولات الصغرى بنسبة 35 بالمئة خلال سنة واحدة. متوسط تكلفة هجوم ناجح على مقاولة صغيرة مغربية يقترب من 1,2 مليون درهم، بين الفدية وتكاليف الإصلاح وتوقف النشاط. والأخطر أن نحو 43 بالمئة من المقاولات الصغرى التي تعرضت لحادثة خطيرة لا تستعيد أبداً مستوى نشاطها السابق خلال الستة أشهر الموالية.
الإطار القانوني المغربي، بين القانون 09-08 والقانون 05-20
خلافاً لفكرة شائعة، يتوفر المغرب فعلاً على ترسانة قانونية متينة نسبياً. القانون 09-08، الصادر سنة 2009 والذي تشرف عليه اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP)، يُلزم كل هيئة تعالج معطيات شخصية، سواء كان الأمر يتعلق بملف زبناء أو ملفات الموارد البشرية أو كاميرات المراقبة، بالتصريح بمعالجاتها وضمان أمنها. القانون مستوحى من التوجيه الأوروبي لسنة 1995، وهو سابق لـ GDPR، ما يفسر بعض الخصائص المحلية: إجراء مسبق شبه إلزامي لدى CNDP، وغياب إلزامية عامة بتعيين مسؤول عن حماية المعطيات.
إلى جانب هذا النص، يؤطر القانون 05-20 بشكل خاص أمن البنيات التحتية الحساسة والمؤسسات العمومية، إذ يفرض تعيين مسؤول عن أمن نظم المعلومات وإخبار DGSSI إلزامياً عند وقوع أي حادثة. العقوبات المرتبطة بعدم احترام القانون 09-08 يمكن أن تصل إلى 300 ألف درهم وسنة سجناً في الحالات الأكثر خطورة، مع العلم أن سلطة توقيع العقوبة تبقى بيد القضاء وليس CNDP نفسها.
هناك نقطة تستحق التوقف عندها بالنسبة لأي مقاولة تتعامل مع خدمات سحابية أجنبية: نقل المعطيات الشخصية خارج التراب المغربي ممنوع من حيث المبدأ، إلا نحو دول معترف بها كضامنة لمستوى حماية كافٍ، أو عبر ترخيص خاص مبني على بنود تعاقدية نموذجية. كثير من المقاولات الصغرى تجهل هذا الأمر تماماً حين تنقل نظامها الإداري أو ملفات زبنائها إلى مزود خدمات سحابية مقره في أوروبا أو الولايات المتحدة.
معرفة بياناتك قبل التفكير في حمايتها
هنا تلتقي قناعة راسخة عند أغلب الخبراء في حوكمة البيانات: لا يمكن حماية ما لا نعرف وجوده أصلاً. والواقع أن أغلب المقاولات، في معظم القطاعات، تجد أن نحو 90 بالمئة من رصيدها الرقمي يتكون من بيانات تسمى غير مهيكلة: ملفات Excel، وثائق PDF، رسائل بريد إلكتروني، مستندات تنتقل من حاسوب الموظف إلى مساحة تخزين سحابية ثم كملحق في بريد إلكتروني، دون أن تستقر في مكان واحد.
هذا التنقل الدائم يجعل مفهوم “المحيط الأمني” التقليدي متجاوزاً. بل إن دراسة تدقيقية حديثة تشير إلى أن 74 بالمئة من أسباب الحوادث الأمنية مردها إلى ثغرات بشرية ومسطرية، وليس فقط إلى نقائص تقنية بحتة. بعبارة أخرى، المشكل الحقيقي ليس فقط جدار الحماية، بل عدم معرفتك أصلاً بمكان تواجد معلوماتك الأكثر حساسية.
هذه أهم الأسئلة التي يجب طرحها قبل استثمار أي درهم في أداة أمنية:
- أين توجد فعلياً بياناتي الأكثر أهمية (العقود، الحسابات البنكية، ملفات الموارد البشرية، الملكية الفكرية)؟
- من له حق الولوج إليها حالياً، وهل هذا الحق لا يزال مبرراً؟
- أي بيانات تغادر الشركة يومياً، وإلى أي أدوات عامة (بريد شخصي، ذكاء اصطناعي محادثاتي، فلاشة USB)؟
- هل يطبق مقدمو الخدمات والمتعاملون معي نفس مستوى الحماية الذي أطبقه أنا؟
فخ “كل شيء على السحابة”
كثير من المقاولات المغربية سايرت الموجة وحولت كل وثائقها إلى أدوات مثل Google Drive أو OneDrive دون أي تمييز بين مسودة شخصية وبيانات ذات قيمة استراتيجية للشركة. النتيجة هي خلط دائم بين ملف عمل بسيط وعقد قيد التفاوض مع زبون استراتيجي، والكل قابل للولوج من طرف نفس الأشخاص وبنفس الصلاحيات. وهذا بالضبط نوع الالتباس الذي يستغله المهاجمون أثناء أي اختراق، لأنهم يحتاجون فقط إلى نقطة دخول واحدة للوصول إلى المعلومة التي تحمل قيمة حقيقية.
ستة إجراءات تحبط أغلب الهجمات
انطلاقاً من تجارب ميدانية مغربية، تكفي مجموعة محدودة من الإجراءات لتحييد جزء كبير من محاولات الاختراق، دون الحاجة إلى ميزانية شركة عابرة للقارات.
- تفعيل المصادقة متعددة العوامل على جميع الولوجات الحساسة، وفي مقدمتها البريد الإلكتروني المهني
- اعتماد نسخ احتياطية بنظام 3-2-1 (ثلاث نسخ، دعامتان مختلفتان، نسخة خارج الموقع) مع اختبار فعلي كل ثلاثة أشهر، وليس مجرد إعداد ثم نسيان
- تحديث دوري شهري للأنظمة والبرامج المهنية
- اعتماد أداة EDR مُدارة لرصد السلوكيات غير المعتادة على أجهزة العمل
- تكوين منتظم للموظفين حول مخاطر التصيد الإلكتروني، مع محاكاة واقعية
- وضع خطة استجابة مكتوبة للحوادث، معروفة لدى الجميع، لتفادي الارتجال يوم وقوع المشكل
هذه الإجراءات الستة وحدها كفيلة بتحييد الغالبية العظمى من الهجمات التي تستهدف المقاولات المغربية متوسطة الحجم. أما الباقي، من اختبار اختراق متقدم إلى شهادة ISO 27001 أو مركز مراقبة أمني داخلي، فيبقى مفيداً لكنه يأتي في مرحلة لاحقة، بعد إرساء الأساسيات بشكل متين.
الخطر الحقيقي للذكاء الاصطناعي غير المؤطر
يجب مقاربة هذا الموضوع بصراحة، لأنني ألاحظه يتكرر عند عدد كبير من محاوريّ: دخول أدوات الذكاء الاصطناعي التوليدي بشكل مكثف يغير المعادلة، وليس دائماً لصالح الشركات. حين ينسخ موظف عقداً مع زبون أو ملفاً خاصاً بالموارد البشرية إلى أداة محادثة عامة لكسب الوقت، فإنه يُخرج معلومة استراتيجية نحو قاعدة معرفية لن يتحكم في مصيرها أبداً.
الخطر الحقيقي ليس الذكاء الاصطناعي كتقنية في حد ذاته، بل ربط هذه الأدوات بكتلة بيانات تعاني أصلاً من حوكمة ضعيفة داخل الشركة. فإذا كان لا أحد يعرف بدقة من له حق الولوج إلى ماذا، فإن أي مساعد محادثاتي مرتبط بملفات الشركة سيكشف بسرعة مذهلة كل الاختلالات في تدبير الصلاحيات التي كانت قائمة بصمت منذ سنوات. الممارسة الجيدة، التي تعتمدها المؤسسات الأكثر نضجاً، تقوم على ربط هذه الأدوات فقط بقنوات آمنة وموثقة، وليس عبر مجرد سحب وإفلات ملف في أداة عامة.
نظرتي الشخصية للمرحلة القادمة
ما أستخلصه بعد متابعة هذا الملف عن قرب، هو أن أمن البيانات في المغرب لن يُحسم فقط على المستوى التقني. سيُحسم على مستوى الحوكمة: معرفة بدقة ما تملكه الشركة، ومن يستطيع الولوج إليه، ولماذا. المقاولات التي ستحقق تقدماً في 2026 لن تكون بالضرورة تلك التي تملك أكبر ميزانية للأمن السيبراني، بل تلك التي أخذت الوقت الكافي لرسم خريطة رصيدها الوثائقي قبل تكديس الأدوات فوقه. السوق المغربية للأمن السيبراني تنمو أصلاً بأكثر من 15 بالمئة سنوياً في قطاع المقاولات الصغرى، وهو مؤشر على وعي حقيقي، وإن كان لا يزال في أغلب الأحيان رد فعل بدل أن يكون استباقياً.
أسئلة شائعة
هل المقاولة الصغيرة في المغرب ملزمة بالتصريح بملفات زبنائها لدى CNDP؟
نعم، بمجرد وجود معالجة لمعطيات شخصية، سواء كان الأمر يتعلق بملف زبناء أو ملف للموارد البشرية أو لائحة عملاء محتملين، يصبح التصريح المسبق لدى CNDP إلزامياً، باستثناء بعض المعالجات الحساسة التي تتطلب ترخيصاً رسمياً.
ما هو الخطر الفعلي لتخزين البيانات على سحابة أجنبية؟
القانون 09-08 يمنع من حيث المبدأ نقل المعطيات الشخصية خارج المغرب، إلا نحو دول معترف بها كضامنة لحماية كافية، أو عبر ضمانات تعاقدية مصادق عليها من طرف CNDP. كثير من الشركات تجهل هذا الأمر عند انتقالها إلى خدمة سحابية أجنبية.
هل تحتاج المقاولة الصغيرة إلى مسؤول أمن سيبراني بدوام كامل؟
ليس بالضرورة منصباً بدوام كامل، لكن تعيين شخص مرجعي داخلي، حتى لو كان خارجياً، يسمح بتمركز القرارات وتطبيق خطة استجابة منسجمة بدل التعامل مع الطوارئ في حالة ارتباك.
هل أدوات الذكاء الاصطناعي التوليدي خطيرة على سرية بيانات الشركة؟
ليست خطيرة في حد ذاتها، لكن استعمالها دون تأطير هو الخطر الحقيقي. المشكل يظهر حين ينسخ موظف وثائق حساسة إلى هذه الأدوات دون المرور عبر قناة آمنة معتمدة من طرف الشركة.
