هل الأرشفة السحابية أفضل أم المحلية؟

هذا الدليل لمدير تقنية المعلومات ومسؤول الأمن السيبراني ولجنة المشتريات حين يُطلب منهم تحديد نموذج الاستضافة في كراسة الشروط أو طلب العرض. نموذج النشر يغيّر توزيع المسؤوليات والتكلفة ومدة التهيئة، لذلك يُحسم قبل مقارنة العروض لا بعدها. جمعنا هنا المقارنة الأساسية والتفصيلية في مكان واحد: التعريفات، والتكلفة على خمس سنوات، والأمان الفعلي، والسياق التنظيمي السعودي، وتوصية تبدأ منها حسب نوع جهتك.

ثلاثة نماذج أساسية لا نموذجان

السؤال الشائع «سحابي أم محلي؟» يُخفي خيارًا ثالثًا يحل كثيرًا من التعارض بين الطرفين. الفرق الحقيقي بين النماذج ليس في مكان الخادم فقط، بل في من يملك التشغيل ومن يتحمل المسؤولية عند العطل.

أما النموذج الهجين، أي توزيع أنواع الوثائق بين السحابة وخوادم الجهة، فهو نموذج رابع يجمع بين ما سبق، لكن اختياره لا يكفي وحده. تصميمه يحتاج تحليلًا: أي الوثائق تبقى داخليًا، وكيف يعمل البحث والصلاحيات وسجل التدقيق عبر البيئتين، ومن يدير المزامنة. إن كانت جهتك تفكر فيه، اكتبه كمتطلب في طلب العرض، واطلب من المورد تصميمًا مكتوبًا لتوزيع البيئتين. نفصّل أسئلته في دليل متطلبات النشر الهجين بين السحابة وخوادم الجهة.

المقارنة معيارًا معيارًا

الجدول التالي يجمع معايير المقارنة التي يطرحها المشترون عادة. القيم وصفية لا رقمية، لأن الأرقام تتغير بحجم الجهة وعقدها.

لاحظ أن «التكلفة طويلة الأمد» غائبة عن الجدول عمدًا. هي لا تُقرأ بكلمة «أعلى» أو «أقل»، بل تُحسب، وهذا موضوع القسم التالي.

التكلفة على خمس سنوات: قارن الكلفة الكاملة لا الفاتورة الأولى

أكثر خطأ يتكرر في لجان الشراء: مقارنة الاشتراك الشهري للسحابة بسعر الترخيص الأولي للنشر المحلي. المقارنة العادلة تجمع كل ما ستدفعه الجهة طوال مدة الاستخدام، بما فيه وقت موظفيها.

لبناء هذا الحساب بالتفصيل راجع حساب التكلفة الكلية لامتلاك نظام إدارة وثائق خلال ثلاث سنوات. وقدّر السعة التخزينية التي ستحتاجها مع نمو الأرشيف قبل المقارنة، لأنها تغيّر بنود الخيارين معًا.

أيهما أكثر أمانًا فعلًا؟

الاعتقاد الشائع أن النشر المحلي أكثر أمانًا «لأن البيانات عندنا». الواقع أن الأمان يتحدد بمن يطبّق الضوابط وكيف، لا بمكان الخادم وحده:

• في النشر المحلي تتحمل جهتك ترقيع الثغرات في أنظمة التشغيل وقواعد البيانات، ومراقبة الأحداث، والنسخ الاحتياطي، وحماية الشبكة. إن كان فريقك صغيرًا أو مشغولًا بأنظمة أخرى، فالتحديثات المتأخرة هي الخطر الأكبر.
• في السحابة يتحمل المورد جزءًا من هذه الضوابط، وتبقى على جهتك إدارة الحسابات والصلاحيات وتصنيف البيانات. هنا يصبح السؤال: ما الضوابط التي يطبقها المورد فعلًا، وما الدليل عليها؟
• إن كان لديك فريق أمن سيبراني متفرغ وسياسات ناضجة، فالنشر على خوادمك يمنحك تحكمًا كاملًا يستحق كلفته، خاصة مع البيانات المصنفة.

السياق السعودي: من يحدد أين تُخزَّن البيانات؟

هنا يخطئ كثير من المقالات بعبارات عامة مثل «NCA تشترط التخزين داخل المملكة». الصورة الحالية أدق من ذلك، وتستحق أن تعرفها قبل كتابة الشرط في كراسة العرض:

• الضوابط الأساسية للأمن السيبراني (ECC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني تتضمن مكونًا فرعيًا للأمن السيبراني المتعلق بالحوسبة السحابية والاستضافة، يُلزم الجهات الخاضعة للضوابط التي تستخدم خدمات سحابية أو تخطط لاستخدامها. وتوضح الوثيقة المحدّثة أن الضوابط المتعلقة بتوطين البيانات وسيادتها نُقلت إلى الاختصاص التنظيمي للهيئة السعودية للبيانات والذكاء الاصطناعي، وأن على الجهات الرجوع إلى مكتب إدارة البيانات الوطنية فيما يخص التوطين.
• ضوابط الأمن السيبراني للحوسبة السحابية (CCC-2:2024) امتداد للضوابط الأساسية، تحدد متطلبات مقدمي الخدمات السحابية والمشتركين، وحُدّثت لتعكس تغييرات متطلبات توطين البيانات بحسب صفحة الهيئة.
• نظام حماية البيانات الشخصية ولائحة نقل البيانات الشخصية إلى خارج المملكة، اللذان تشرف عليهما الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، ينظمان متى وكيف تُنقل البيانات الشخصية خارج المملكة.

عمليًا: تصنيف بياناتك وقطاعك هما ما يحدد القيد، لا نوع النظام. جهة حكومية تحفظ بيانات مصنفة لها قيود مختلفة عن شركة تجارية تحفظ عقود موردين. لذلك لا تكتفِ في طلب العرض بعبارة «استضافة داخل المملكة»؛ حدّد موقع التخزين الأساسي، وموقع النسخ الاحتياطية، ومن يملك الوصول الإداري إلى الخوادم، وأين تُعالَج الملفات عند تشغيل OCR والذكاء الاصطناعي.

مسار قرار من أربع محطات

المسار يبدأ بالقيد الذي لا يقبل التفاوض (التنظيم وتصنيف البيانات)، ثم ينتقل إلى القدرة التشغيلية، ثم الاتصال، وتأتي التكلفة أخيرًا لتختار بين الخيارات التي اجتازت المحطات السابقة. من يبدأ بالتكلفة يختار أحيانًا نموذجًا يرفضه الأمن السيبراني بعد التوقيع.

من أين تبدأ حسب نوع جهتك؟

هذه نقاط انطلاق للنقاش الداخلي، لا أحكام نهائية. الحسم دائمًا بتصنيف البيانات والمتطلبات التنظيمية لقطاعك.

إن كان المعيار الحاسم عندك هو الاختيار بين البيئة المخصصة والمشتركة، ففصّلناه في استضافة خاصة أم بيئة مشتركة: معايير الاختيار.

نماذج النشر في وثيقة

يُقدَّم وثيقة بأربعة نماذج: سحابة مشتركة معزولة البيانات لكل مؤسسة بمفاتيح تشفير مستقلة، وسحابة خاصة ببيئة مخصصة لجهتك، واستضافة على خوادم الجهة ضمن الباقة المؤسسية، ونشر هجين يوزّع الوثائق بين السحابة وخوادم الجهة. ويتوفر خيار الاستضافة بخوادم داخل المملكة للجهات التي تشترط ذلك.

• تشفير أثناء النقل (TLS 1.3) وأثناء التخزين (AES-256) في كل النماذج.
• في النماذج السحابية: نسخ احتياطي تلقائي متعدد المواقع، وتُثبَّت أهداف الاسترداد في اتفاقية مستوى الخدمة. التفاصيل في صفحة عزل البيانات والاستضافة داخل المملكة.
• في النشر المحلي: تُعِد الجهة البنية، ويتولى فريق وثيقة التثبيت والتهيئة، وتُكتب مسؤولية النسخ الاحتياطي واختبار الاستعادة في العقد.
• الوصول من المتصفح والجوال، وربط الدخول بـ Active Directory / LDAP مع مصادقة ثنائية.
• توافر عالٍ متعدد الخوادم للجهات التي لا تحتمل التوقف، ودخول موحد عبر SAML/OIDC إضافة إلى AD/LDAP.
• في النشر الهجين: يُصمَّم توزيع الوثائق بين البيئتين لكل جهة في العرض الفني. والانتقال بين النماذج لاحقًا (البدء سحابيًا ثم النقل لخوادم الجهة مثلًا) يُناقش مع فريق وثيقة ويُحدَّد نطاقه كذلك.

لتفاصيل البنية المطلوبة من جهتك في كل نموذج، والمعلومات التي تجهّزها قبل جلسة المتطلبات، راجع خيارات النشر ومتطلبات البنية والنسخ الاحتياطي. وإن كان سؤالك الأوسع هو استمرارية العمل عند الأعطال، فراجع مقالنا عن أثر الأرشفة على استدامة الأعمال.

الخطوة التالية

1. صنّف بياناتك واسأل الأمن السيبراني والشؤون القانونية عن القيد الذي يسري على كل فئة.
2. قيّم قدرة فريقك على تشغيل الخوادم بصراحة، بالساعات لا بالنوايا.
3. احسب الكلفة الكاملة لخمس سنوات لكل خيار بالبنود نفسها.
4. أرسل للمورد النموذج المفضل وعدد المستخدمين وحجم الأرشيف، واطلب أن يوضح العرض ما يشمله كل خيار وما يقع على عاتق جهتك.