السعودية تطلق أول استراتيجية وطنية للأمن السيبراني للقطاع الصحي لحماية بيانات المرضى والبنية التحتية الحيوية

ما هي الاستراتيجية الوطنية للأمن السيبراني للقطاع الصحي في السعودية؟

أطلقت الهيئة الوطنية للأمن السيبراني السعودية بالتعاون مع وزارة الصحة أول استراتيجية وطنية شاملة للأمن السيبراني للقطاع الصحي، تهدف إلى حماية بيانات المرضى والبنية التحتية الحيوية من الهجمات الإلكترونية المتزايدة. وتأتي هذه الاستراتيجية في إطار رؤية المملكة 2030 لتعزيز التحول الرقمي في القطاع الصحي، مع ضمان أعلى مستويات الأمان والخصوصية للمعلومات الصحية الحساسة.

تتضمن الاستراتيجية مجموعة من الإجراءات والسياسات التي تلزم جميع مقدمي الخدمات الصحية - سواء حكومية أو خاصة - بتبني معايير صارمة للأمن السيبراني، بما في ذلك تشفير البيانات، وإجراء اختبارات اختراق دورية، وتطبيق أنظمة كشف التسلل. كما تشمل إنشاء مركز عمليات أمن سيبراني مخصص للقطاع الصحي لرصد التهديدات والاستجابة الفورية للحوادث.

وتعد هذه الاستراتيجية الأولى من نوعها في المنطقة، حيث تستجيب للزيادة الكبيرة في الهجمات الإلكترونية التي استهدفت القطاع الصحي عالمياً خلال السنوات الأخيرة، خاصة بعد جائحة كوفيد-19 التي سرّعت من رقمنة الخدمات الصحية.

لماذا يحتاج القطاع الصحي السعودي إلى استراتيجية أمن سيبراني وطنية؟

شهد القطاع الصحي السعودي تحولاً رقمياً هائلاً في السنوات الأخيرة، مع تطبيق أنظمة السجلات الصحية الإلكترونية (EHR)، والتطبيب عن بعد (Telemedicine)، وإنترنت الأشياء الطبية (IoMT). هذا التحول جعله هدفاً جاذباً للقراصنة، حيث تشير إحصاءات الهيئة الوطنية للأمن السيبراني إلى أن القطاع الصحي تعرض لأكثر من 3,200 هجوم إلكتروني في عام 2025 وحده، بزيادة 45% عن العام السابق.

وتكمن خطورة هذه الهجمات في أنها لا تهدد فقط خصوصية المرضى، بل قد تؤدي إلى تعطيل الأجهزة الطبية الحيوية مثل أجهزة التنفس الصناعي وأنظمة مراقبة العناية المركزة، مما يعرض حياة المرضى للخطر. وقد كشف تقرير صادر عن منظمة الصحة العالمية أن 72% من الهجمات الإلكترونية على المستشفيات حول العالم أدت إلى تعطيل الخدمات الحيوية.

بالإضافة إلى ذلك، فإن البيانات الصحية هي الأغلى ثمناً في السوق السوداء، حيث يبلغ متوسط سعر السجل الصحي الواحد 250 دولاراً أمريكياً، مقارنة بـ 5 دولارات لبطاقة الائتمان. وهذا يجعل القطاع الصحي هدفاً مربحاً لمجموعات الجريمة الإلكترونية المنظمة.

كيف ستعمل الاستراتيجية على حماية بيانات المرضى؟

تعتمد الاستراتيجية على ثلاثة محاور رئيسية: الوقاية والاكتشاف والاستجابة. في مجال الوقاية، ستفرض الاستراتيجية على جميع المنشآت الصحية تطبيق معايير التشفير المتقدمة (AES-256) على جميع البيانات المخزنة والمنقولة، بالإضافة إلى تطبيق المصادقة متعددة العوامل (MFA) لجميع الموظفين الذين لديهم إمكانية الوصول إلى السجلات الصحية.

أما في مجال الاكتشاف، فسيتم إنشاء منصة وطنية لتحليل التهديدات السيبرانية تعمل بالذكاء الاصطناعي، قادرة على رصد الأنماط غير الطبيعية في الشبكات الصحية خلال 0.3 ثانية من حدوثها. وستكون هذه المنصة متصلة بمركز العمليات الوطني للأمن السيبراني (NCC) في الرياض، مما يضمن استجابة فورية.

وفي مجال الاستجابة، ستوفر الاستراتيجية خطة عمل واضحة للتعامل مع الحوادث الإلكترونية، تشمل عزل الأنظمة المصابة، واستعادة البيانات من النسخ الاحتياطية المشفرة، والتنسيق مع الجهات القضائية لملاحقة المهاجمين. كما ستفرض غرامات تصل إلى 5 ملايين ريال سعودي على المنشآت التي تثبت إهمالها في تطبيق إجراءات الأمن السيبراني.

ما هي البنية التحتية الحيوية المستهدفة بالحماية؟

تشمل البنية التحتية الحيوية للقطاع الصحي التي ستتم حمايتها بموجب هذه الاستراتيجية: شبكات المستشفيات المركزية، وأنظمة السجلات الصحية الإلكترونية (مثل نظام "صحة" في وزارة الصحة)، وأجهزة التشخيص والعلاج المتصلة بالإنترنت، وأنظمة إدارة الأدوية، وشبكات التطعيم الوطنية، وبنوك الدم، وأنظمة الاتصالات الطارئة.

كما تشمل البنية التحتية الحيوية مراكز البيانات التي تستضيف المعلومات الصحية، والتي يجب أن تكون متوافقة مع المعيار السعودي للأمن السيبراني (SCC) والحاصلة على شهادة ISO 27001. وتتضمن الاستراتيجية أيضاً حماية أنظمة التطبيب عن بعد، التي شهدت نمواً بنسبة 300% في السعودية منذ عام 2020.

وتولي الاستراتيجية اهتماماً خاصاً لحماية أجهزة إنترنت الأشياء الطبية (IoMT)، مثل أجهزة مراقبة مرضى السكري وأجهزة تنظيم ضربات القلب المتصلة بالإنترنت، والتي تشكل ثغرة أمنية كبيرة إذا لم يتم تحديث برامجها الثابتة بانتظام.

متى سيتم تطبيق الاستراتيجية وما هي الجداول الزمنية؟

أعلنت الهيئة الوطنية للأمن السيبراني أن تطبيق الاستراتيجية سيتم على ثلاث مراحل. المرحلة الأولى (2026-2027): تركز على المنشآت الصحية الكبرى التي تضم أكثر من 500 سرير، وتشمل 47 مستشفى حكومياً وخاصاً، حيث سيتم تطبيق الإجراءات الأساسية خلال 18 شهراً.

المرحلة الثانية (2027-2028): تشمل جميع المنشآت الصحية المتوسطة (100-500 سرير)، والتي يقدر عددها بنحو 230 منشأة، مع إلزامها بتحقيق الامتثال الكامل خلال 24 شهراً. أما المرحلة الثالثة (2028-2029): فتشمل جميع المراكز الصحية الأولية والعيادات الخاصة (أكثر من 2,500 منشأة)، مع فترة امتثال تمتد إلى 36 شهراً.

وتتضمن الاستراتيجية أيضاً إنشاء صندوق دعم بقيمة 2 مليار ريال سعودي لمساعدة المنشآت الصغيرة والمتوسطة على تمويل متطلبات الأمن السيبراني، بالإضافة إلى تقديم حوافز ضريبية للمؤسسات التي تحقق الامتثال قبل الموعد المحدد.

هل ستواجه الاستراتيجية تحديات في التطبيق؟

من المتوقع أن تواجه الاستراتيجية عدة تحديات، أبرزها نقص الكوادر المتخصصة في الأمن السيبراني الصحي. وتشير إحصاءات وزارة الصحة إلى أن هناك حاجة لأكثر من 5,000 متخصص في الأمن السيبراني الصحي بحلول عام 2030، بينما لا يتجاوز العدد الحالي 800 متخصص. ولمواجهة هذا التحدي، أطلقت الهيئة برنامجاً تدريبياً بالتعاون مع جامعة الملك سعود وجامعة الملك عبدالله للعلوم والتقنية (KAUST) لتخريج 1,000 متخصص سنوياً.

كما تشكل التكلفة العالية لتطبيق أنظمة الأمن السيبراني عائقاً أمام المنشآت الصغيرة، حيث تتراوح تكلفة الامتثال للمنشأة الواحدة بين 500 ألف و5 ملايين ريال سعودي حسب حجمها. وتعمل الهيئة على تقديم حلول تقنية منخفضة التكلفة عبر منصة سحابية موحدة للأمن السيبراني.

بالإضافة إلى ذلك، فإن التحديث المستمر للتهديدات السيبرانية يتطلب تحديثاً دورياً للإجراءات، مما قد يشكل عبئاً إدارياً على المنشآت الصحية. وقد نصت الاستراتيجية على مراجعة شاملة كل عامين لتحديث السياسات بما يتوافق مع أحدث التهديدات.

ما هو دور المواطن والمريض في هذه الاستراتيجية؟

تولي الاستراتيجية أهمية كبيرة لتوعية المرضى والمواطنين بدورهم في حماية بياناتهم الصحية. ستطلق الهيئة حملة توعوية وطنية بعنوان "بياناتي أمانة" تهدف إلى تعليم المرضى كيفية التعامل الآمن مع بياناتهم الصحية، بما في ذلك عدم مشاركة كلمات المرور، وتجنب استخدام شبكات الواي فاي العامة للوصول إلى بوابات المرضى، والإبلاغ الفوري عن أي نشاط مشبوه.

كما ستمنح الاستراتيجية المرضى حق الوصول إلى سجل كامل بجميع الأطراف التي اطلعت على بياناتهم الصحية، مع إمكانية الاعتراض على أي وصول غير مصرح به. وسيتم تطبيق نظام "الموافقة الواعية" (Informed Consent) إلكترونياً، حيث يجب على المريض الموافقة صراحة على كل عملية مشاركة لبياناته.

وتتضمن الاستراتيجية أيضاً إنشاء خط ساخن (رقم 1966) للإبلاغ عن انتهاكات الخصوصية، مع ضمان سرية المبلغين. وقد تم تخصيص مكافآت مالية تصل إلى 100 ألف ريال سعودي للإبلاغ عن ثغرات أمنية في أنظمة القطاع الصحي.

خاتمة: نظرة مستقبلية للقطاع الصحي السعودي

تمثل الاستراتيجية الوطنية للأمن السيبراني للقطاع الصحي نقلة نوعية في حماية البنية التحتية الصحية في المملكة، وتضع السعودية في مصاف الدول الرائدة في هذا المجال على المستوى العالمي. ومع توقع استثمار أكثر من 15 مليار ريال سعودي في الأمن السيبراني الصحي خلال السنوات الخمس المقبلة، فإن القطاع الصحي السعودي سيكون أكثر أماناً ومرونة في مواجهة التهديدات الإلكترونية.

وتتطلع الهيئة الوطنية للأمن السيبراني إلى أن تكون السعودية مركزاً إقليمياً لتدريب وتطوير حلول الأمن السيبراني الصحي، مع خطط لتصدير الخبرات السعودية إلى دول المنطقة عبر شراكات مع دول مجلس التعاون الخليجي. وفي ظل رؤية 2030، ستساهم هذه الاستراتيجية في تعزيز ثقة المواطنين والمستثمرين في القطاع الصحي السعودي، مما يدعم هدف المملكة في أن تصبح وجهة رائدة للسياحة العلاجية.