متطلبات البنك المركزي الأردني لحماية البيانات — قائمة تحقق للامتثال للبنوك في الأردن

تعمل البنوك والمؤسسات المالية في الأردن ضمن أحد أكثر القطاعات خضوعاً للرقابة في البلاد. يصدر البنك المركزي الأردني تعليمات وتعاميم تحدد كيفية إدارة المؤسسات المرخصة لأمن المعلومات وحماية بيانات العملاء والاستجابة للحوادث. إن الوفاء بمتطلبات امتثال البنك المركزي الأردني ليس مشروعاً لمرة واحدة، بل هو انضباط مستمر يمس الحوكمة والتكنولوجيا والأفراد والتوثيق في المؤسسة بأكملها.

تضع هذه المقالة قائمة تحقق عملية يمكن للبنوك ومزودي خدمات الدفع والجهات الأخرى الخاضعة للرقابة استخدامها لتقييم موقعها الحالي. وتركز على المحاور المتكررة عبر تعليمات البنك المركزي المتعلقة بالأمن السيبراني وحماية البيانات، إلى جانب التوقعات الأوسع التي أنشأها قانون حماية البيانات الشخصية في الأردن. ونظراً لأن التعليمات الرقابية تُحدَّث بمرور الوقت، فينبغي التعامل مع هذا المحتوى كإطار عمل استرشادي لا كبديل عن النصوص الرسمية، والتأكد من التفاصيل الحالية قبل التصرف بناءً عليها.

فهم المشهد التنظيمي للبنك المركزي الأردني

يشرف البنك المركزي الأردني على البنوك وشركات الدفع الإلكتروني وتحويل الأموال وشركات الصرافة وغيرها من المؤسسات المالية. وخلال السنوات الأخيرة، ركّزت تعليماته بشكل متزايد على المرونة السيبرانية وحوكمة أمن المعلومات وحماية معلومات العملاء. وبدلاً من كتاب قواعد واحد، تتوزع هذه التوقعات عبر عدة تعليمات وتعاميم تغطي مجالات مثل أطر أمن المعلومات وإدارة المخاطر والإسناد الخارجي واستمرارية الأعمال والإبلاغ عن الحوادث.

بالنسبة لمعظم المؤسسات، يتمثل الأثر العملي في أن مجلس الإدارة والإدارة العليا يتحملان المسؤولية عن برنامج لأمن المعلومات وحماية البيانات يكون موثقاً وقائماً على المخاطر وخاضعاً لمراجعة مستقلة. وتتضافر هنا قوتان: التوقعات الاحترازية والتشغيلية للبنك المركزي، والتزامات البيانات الشخصية التي أصبحت تنطبق الآن على كل مؤسسة في الأردن. وغالباً ما يكون تقييم الفجوات مقابل كلا الإطارين أسرع طريقة لرؤية الصورة الكاملة.

استثناء الجهات الخاضعة لرقابة البنك المركزي في قانون حماية البيانات وقرار رقم 831/2025

ثمة حكم في قانون حماية البيانات الشخصية بالغ الأهمية للقطاع المالي. فالمادة 6/أ/6 تجيز للجهات الخاضعة لرقابة البنك المركزي الأردني معالجة البيانات الشخصية في سياق أداء مهامها وفق ما يحدده البنك المركزي، بما في ذلك نقل تلك البيانات أو تبادلها داخل المملكة أو خارجها، دون الحصول على الموافقة المسبقة للشخص المعني. ويقرّ هذا الاستثناء بأن الرقابة المصرفية وعمليات الدفع وضوابط مكافحة الجرائم المالية لا يمكن أن تتوقف على موافقة الأفراد.

وقد نفّذ البنك المركزي هذا الاستثناء عبر قرار البنك المركزي الأردني رقم 831/2025 الصادر بتاريخ 4 آب/أغسطس 2025، الذي ينظّم معالجة البيانات الشخصية من قبل الجهات الخاضعة لرقابة البنك المركزي. ويحدد القرار شروط معالجة هذه الجهات للبيانات الشخصية دون موافقة مسبقة، وشروط نقلها عبر الحدود. وعملياً، أصبحت البنوك الأردنية تشير الآن إلى كل من قانون حماية البيانات الشخصية رقم 24 لسنة 2023 وهذا القرار في إشعارات الخصوصية وسياساتها الداخلية. وتأكد من النص الحالي للقرار بالرجوع إلى المصادر الرسمية للبنك المركزي، إذ قد تُحدَّث متطلباته التفصيلية.

الحوكمة والمساءلة

تتوقع تعليمات البنك المركزي باستمرار أن تكون ملكية أمن المعلومات وحماية البيانات على أعلى مستويات المؤسسة. فالحوكمة هي المكان الذي تبدأ منه معظم المراجعات الرقابية، والذي تُثار فيه العديد من الملاحظات.

قائمة تحقق الحوكمة

• إطار سياسات لأمن المعلومات وحماية البيانات معتمد من مجلس الإدارة تتم مراجعته وتحديثه وفق دورة محددة.
• أدوار ومسؤوليات واضحة، بما في ذلك وظيفة عليا لأمن المعلومات مستقلة عن عمليات تقنية المعلومات اليومية.
• لجنة مخاطر أو ما يعادلها تتلقى تقارير منتظمة عن المخاطر السيبرانية ومخاطر البيانات.
• مساءلة محددة عن البيانات الشخصية، بما في ذلك النظر فيما إذا كان تعيين مسؤول حماية البيانات (المُشار إليه في القانون بـ "المراقب") مطلوباً بموجب قانون حماية البيانات الشخصية.
• موافقة موثقة من الإدارة على مستوى تقبّل المخاطر المتعلقة بالمعلومات والمخاطر السيبرانية.
• أهداف للأمن والخصوصية مدمجة في الحوكمة الأوسع للمؤسسة، وليست شأناً تقنياً بحتاً.

إدارة المخاطر وتصنيف البيانات

من التوقعات المتكررة عبر تعليمات البنك المركزي أن تكون الضوابط متناسبة مع المخاطر. ويتطلب ذلك عملية إدارة مخاطر حية وفهماً واضحاً للبيانات التي تحتفظ بها المؤسسة.

قائمة تحقق المخاطر والتصنيف

• منهجية موثقة لإدارة مخاطر أمن المعلومات ذات أدوار وتقييم وخطط معالجة محددة.
• جرد حالي لأصول المعلومات والأنظمة التي تعالجها.
• مخطط لتصنيف البيانات يميز بين المعلومات العامة والداخلية والسرية وعالية الحساسية، بما في ذلك البيانات الشخصية والمالية.
• قواعد تعامل لكل مستوى تصنيف تغطي التخزين والنقل والاحتفاظ والإتلاف.
• تقييمات منتظمة للمخاطر تغذي خطط المعالجة وتقارير الإدارة.
• تقييمات أثر حماية البيانات لأنشطة المعالجة الأعلى خطورة، بما يتوافق مع قانون حماية البيانات الشخصية.

يساعد تقييم مخاطر الأمن ومدى الانكشاف المنظّم في التحقق من أن صورة المخاطر تعكس الواقع لا الافتراضات، وأن أبرز مواطن الانكشاف تُعالَج أولاً.

التحكم بالوصول وحوكمة الهوية

يُعد الوصول غير المنضبط من أكثر الأسباب الجذرية شيوعاً وراء حوادث البيانات في القطاع المالي. وتتوافق توقعات البنك المركزي المتعلقة بالتحكم بالوصول بشكل وثيق مع الممارسات القوية للهوية والوصول المميز.

قائمة تحقق التحكم بالوصول

• وصول قائم على الأدوار متوافق مع مبدأ الحد الأدنى من الامتيازات، مع منح الوصول على أساس الحاجة للمعرفة.
• المصادقة متعددة العوامل للوصول عن بُعد والحسابات الإدارية والأنظمة الحساسة.
• عمليات رسمية للالتحاق والنقل والمغادرة بحيث يُمنح الوصول ويُلغى في الوقت المناسب.
• ضوابط على الحسابات المميزة والإدارية، بما في ذلك المراقبة والتحكم بالجلسات.
• مراجعات دورية للوصول وإعادة اعتماده، مع الاحتفاظ بالأدلة لأغراض التدقيق.
• الفصل بين المهام لمنع أي فرد بمفرده من التحكم بعملية حساسة من طرفها إلى طرفها.

تعالج العديد من البنوك هذه الفجوات عبر تعزيز برنامج حوكمة الهوية والوصول لديها، بما يجمع إدارة الهوية وإدارة الوصول المميز تحت سياسة ومراقبة متسقتين.

التشفير والضوابط التقنية

تُفعّل الضمانات التقنية السياسات المذكورة أعلاه. وتتوقع تعليمات البنك المركزي من المؤسسات حماية البيانات أثناء النقل وأثناء التخزين، والحفاظ على بيئة محصّنة وخاضعة للمراقبة.

قائمة تحقق الضوابط التقنية

• تشفير البيانات الحساسة أثناء التخزين وأثناء النقل باستخدام معايير حديثة ومعتمدة.
• إدارة آمنة للمفاتيح مع ملكية وضوابط دورة حياة محددة.
• تجزئة الشبكة لفصل الأنظمة الحرجة، والحماية على مستويي الشبكة والتطبيقات.
• إدارة الثغرات والترقيع في الوقت المناسب واختبارات الاختراق المنتظمة.
• تسجيل مركزي ومراقبة أمنية قادرة على كشف النشاط المشبوه.
• خطوط أساس آمنة للتهيئة للخوادم والأجهزة الطرفية وأجهزة الشبكة.

تساعد مراجعة ضوابط أمن الشبكات والتطبيقات مقابل هذه التوقعات في التأكد من أن الدفاعات التقنية تتناسب مع حساسية البيانات المصرفية والتهديدات التي يواجهها القطاع.

الاستجابة للحوادث والإبلاغ عن الاختراقات

تُعد كيفية كشف المؤسسة للحوادث والاستجابة لها والإبلاغ عنها شاغلاً رقابياً محورياً. وتتطلب تعليمات البنك المركزي عادةً الإبلاغ في الوقت المناسب عن الحوادث السيبرانية والتشغيلية الجوهرية، ويضيف قانون حماية البيانات الشخصية التزاماته الخاصة بشأن الاختراقات.

قائمة تحقق الحوادث والإبلاغ

• خطة موثقة للاستجابة للحوادث ذات مستويات خطورة وأدوار ومسارات تصعيد محددة.
• إجراءات لإبلاغ البنك المركزي بالحوادث الجوهرية ضمن الأطر الزمنية المطلوبة.
• عملية لتقييم اختراقات البيانات الشخصية والإبلاغ عنها بموجب قانون حماية البيانات الشخصية.
• اختبار منتظم لخطة الاستجابة للحوادث عبر التمارين والمحاكاة.
• الاحتفاظ بسجلات الحوادث والقرارات والأدلة للمراجعة والتدقيق.
• مراجعات ما بعد الحادث تعيد الدروس المستفادة إلى الضوابط والتدريب.

مخاطر الأطراف الثالثة والإسناد الخارجي

تعتمد المؤسسات المالية بشكل كبير على مزودي الخدمات والمنصات السحابية وموردي التكنولوجيا. وتتوقع تعليمات البنك المركزي بشأن الإسناد الخارجي من المؤسسات إدارة هذه المخاطر بفاعلية بدلاً من نقل المساءلة إلى المورد.

قائمة تحقق الإسناد الخارجي

• العناية الواجبة تجاه المزودين قبل التعاقد، بما يشمل قدرات الأمن وحماية البيانات.
• عقود تحدد التزامات الأمن وقواعد التعامل مع البيانات وحقوق التدقيق وواجبات الإبلاغ عن الاختراقات.
• جرد لترتيبات الإسناد الجوهرية والبيانات التي يمكن لكل مزود الوصول إليها.
• مراقبة مستمرة لأداء المزود ووضعه الأمني.
• مراعاة موقع البيانات وأي متطلبات لنقلها عبر الحدود.
• ترتيبات للخروج والاستمرارية بحيث يمكن استعادة الخدمات أو استبدالها في حال إخفاق المزود.

استمرارية الأعمال والمرونة

تسري المرونة التشغيلية عبر توقعات البنك المركزي. فالمؤسسات مطالَبة بإبقاء الخدمات الحرجة عاملة والتعافي بسرعة من الاضطرابات، سواء نجمت عن هجوم سيبراني أو حدث آخر.

قائمة تحقق الاستمرارية

• خطة لاستمرارية الأعمال والتعافي من الكوارث متوافقة مع أهداف تعافٍ محددة.
• نسخ احتياطية منتظمة يُختبر تكاملها وقابليتها للاستعادة.
• توافر احتياطي للأنظمة الحرجة وقنوات الاتصال.
• اختبار سيناريوهات يشمل الحوادث السيبرانية مثل برامج الفدية.
• إجراءات واضحة للتواصل في الأزمات مع الجهات الرقابية والعملاء والموظفين.

التوثيق الذي يتوقع البنك المركزي رؤيته

المراجعات الرقابية قائمة على الأدلة. فإذا لم يكن الضابط موثقاً، يصعب إثبات أنه يعمل بشكل متسق. وينبغي على المؤسسات الاحتفاظ بمجموعة توثيق متماسكة وحديثة بدلاً من ملفات متفرقة.

قائمة تحقق التوثيق

• سياسات لأمن المعلومات وحماية البيانات معتمدة من مجلس الإدارة، ذات ملّاك وتواريخ مراجعة محددة.
• معايير وإجراءات تترجم السياسة إلى ممارسة يومية.
• سجل لأنشطة المعالجة وسجل لأصول المعلومات.
• تقييمات أثر حماية البيانات للمعالجة الأعلى خطورة.
• سجلات الوصول ومسارات التدقيق وسجلات الأنظمة محتفظ بها لمدد محددة.
• سجلات المخاطر وخطط المعالجة وتقارير الإدارة.
• سجلات التدريب وأدلة أنشطة توعية الموظفين.

غالباً ما تتعثر البرامج عند الاحتفاظ بهذه الأدلة يدوياً. ويمكن لـ حلول تكنولوجيا الامتثال أن تجمع السياسات والسجلات ومسارات التدقيق في مكان مركزي بحيث تكون الأدلة جاهزة عندما يطلبها المشرف أو المدقق.

هل تحتاجون إلى مسؤول لحماية البيانات؟

تقع مسألة تعيين مسؤول حماية البيانات عند تقاطع قانون حماية البيانات الشخصية والحوكمة الرشيدة. فالبنوك تعالج كميات كبيرة من البيانات الشخصية والمالية، ما يجعل وجود وظيفة مخصصة لحماية البيانات قيّماً حتى حيث لا يزال المحفّز القانوني الدقيق قيد التوضيح. وتوفّر هذه الوظيفة مالكاً مسؤولاً عن الخصوصية، وجهة اتصال للجهات الرقابية، وإشرافاً مستقلاً على أنشطة المعالجة.

بالنسبة للمؤسسات التي تفتقر إلى القدرة الداخلية لتوفير هذه الوظيفة بالكامل، يمكن لنموذج خارجي أو مدعوم أن يسد الفجوة. وتشرح نظرتنا العامة حول خدمات مسؤول حماية البيانات في الأردن كيف يمكن هيكلة الوظيفة وما المسؤوليات التي ينبغي أن تحملها.

فجوات الامتثال الشائعة التي تواجهها البنوك

عبر عملنا مع المؤسسات المالية، تظهر مجموعة متسقة من مواطن الضعف. ويجعل التعرف عليها مبكراً معالجتها أقل تكلفة بكثير.

• سياسات موجودة على الورق لكنها غير منعكسة في العمليات اليومية أو الأدلة.
• قوائم جرد غير مكتملة للبيانات، بحيث لا تستطيع المؤسسة حصر البيانات الشخصية التي تحتفظ بها بالكامل.
• صلاحيات وصول مفرطة وقديمة ناجمة عن ضعف عمليات الالتحاق والنقل والمغادرة وندرة المراجعات.
• استجابة مجزّأة للحوادث غير مختبرة وغير واضحة بشأن الأطر الزمنية للإبلاغ الرقابي.
• ترتيبات إسناد خارجي بعناية واجبة أمنية محدودة وحماية تعاقدية ضعيفة.
• مسارات تدقيق وسجلات غير مكتملة أو غير محتفظ بها لمدة كافية لدعم التحقيق.
• التعامل مع تعليمات البنك المركزي وقانون حماية البيانات الشخصية كمشروعين منفصلين لا كبرنامج واحد متكامل.

كيف تساعد شركة Digital Protection Technologies

تعمل شركة Digital Protection Technologies مع البنوك والمؤسسات المالية في عمّان وعبر الأردن على ترجمة التوقعات الرقابية إلى برنامج عملي قابل للتدقيق. ويبدأ ذلك عادةً بتقييم للفجوات مقابل كل من تعليمات البنك المركزي وقانون حماية البيانات الشخصية، يتبعه معالجة مرتّبة حسب الأولوية عبر الحوكمة والضوابط والتوثيق. وحيث تسعى المؤسسة أيضاً إلى التوافق مع الأطر الدولية، يوضح دليلنا حول شهادة الأيزو 27701 في الأردن وعملنا في الامتثال للائحة العامة لحماية البيانات للمؤسسات الأردنية كيف تعزز هذه المعايير الالتزامات المحلية.

هذه المقالة معلومات عامة وليست استشارة قانونية؛ تأكدوا من متطلبات البنك المركزي الأردني الحالية مقابل تعليمات البنك المركزي وتعاميمه الرسمية، واستشيروا شركة Digital Protection Technologies بشأن وضعكم الخاص. وإذا كنتم بنكاً أو مؤسسة مالية تسعى إلى سد الفجوات مقابل متطلبات امتثال البنك المركزي الأردني، فيمكن لفريقنا مساعدتكم في بناء برنامج قائم على الأدلة يمكن الدفاع عنه — تواصلوا معنا لترتيب نقاش أولي.