الترحيل إلى السحابة في السعودية: دليل استراتيجي للمنشآت
أبرز النقاط
- يبدأ الترحيل إلى السحابة في السعودية بتصنيف البيانات، لأن نظام حماية البيانات الشخصية وضوابط الهيئة الوطنية وفئات هيئة الاتصالات تحدد مكان كل نظام.
- المكوّن الفرعي (4-2) في الضوابط الأساسية ECC-2:2024 يجعل ضوابط أمن الحوسبة السحابية ملزمة للجهات الخاضعة، وأسئلة التوطين أصبحت لدى مكتب إدارة البيانات الوطنية في سدايا.
- المناطق السحابية الكبرى داخل المملكة تتوسع في 2026، لكن توفر الخدمات يختلف بين المزوّدين فتحقق قبل التصميم.
- البنية الهجينة هي الهدف الواقعي لمعظم المنشآت، مع اختيار استراتيجية ترحيل مناسبة لكل تطبيق.
- ابنِ بيئة الأساس وأتمتة DevOps قبل الترحيل، وأوقف الأنظمة القديمة لتتحقق الوفورات فعلاً.
الترحيل إلى السحابة هو نقل التطبيقات والبيانات والبنية التحتية من الخوادم المحلية إلى منصات الحوسبة السحابية بطريقة مخطّط لها تستوفي متطلبات توطين البيانات في المملكة، ونظام حماية البيانات الشخصية، وضوابط الهيئة الوطنية للأمن السيبراني. وتبدأ الاستراتيجية السليمة بتصنيف البيانات، ثم اختيار مناطق سحابية داخل المملكة، وبناء بيئة أساس آمنة، والترحيل على موجات مضبوطة.
يُعد الترحيل إلى السحابة من أعلى قرارات البنية التحتية خطورة لأي منشأة سعودية. فالفرق بين ترحيل مُحكم التنفيذ وآخر سيئ التخطيط يُقاس باستمرارية العمليات، والوضع الأمني، والتكلفة الإجمالية على المدى الطويل، لا بميزانية المشروع الأولية فحسب. والأطر الجاهزة المصمّمة للأسواق الغربية تحتاج إلى تكييف حقيقي يراعي المشهد التنظيمي في المملكة، وقواعد تصنيف البيانات، وحقيقة أن السعة السحابية الكبرى داخل المملكة ما زالت في طور النمو. يشرح هذا الدليل ما الذي يختلف في المملكة، وكيف تحدد مكان كل نظام، وما التسلسل الذي يُبقي مشروع الترحيل في موعده وضمن الامتثال.
ما الذي يميّز الترحيل إلى السحابة في السعودية؟
هناك ثلاث طبقات تنظيمية تحكم كل قرار ترحيل في المملكة، وهي متداخلة فيما بينها، ولا يكفي استيفاء واحدة منها دون الأخريين.
البيانات الشخصية: نظام حماية البيانات الشخصية
صدر نظام حماية البيانات الشخصية بالمرسوم الملكي رقم (م/19) بتاريخ 16 سبتمبر 2021، وعُدّل في مارس 2023، ودخل حيز النفاذ في 14 سبتمبر 2023 مع مهلة تصحيح مدتها عام انتهت في 14 سبتمبر 2024. وتشرف على تطبيقه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، التي تنشر النظام ولوائحه التنفيذية وخدمة الإشعار بتسرب البيانات عبر منصة حوكمة البيانات الوطنية. ويخضع نقل البيانات الشخصية إلى خارج المملكة للائحة خاصة، لذا يحتاج كل نظام يعالج بيانات العملاء أو الموظفين إلى توثيق واضح لمكان تخزين البيانات ونسخها وحفظ نسخها الاحتياطية. ويتناول دليلنا للامتثال لنظام حماية البيانات الشخصية هذه الالتزامات بالتفصيل.
الأمن السيبراني: الضوابط الأساسية وضوابط الحوسبة السحابية
تتضمن الضوابط الأساسية للأمن السيبراني (ECC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني مكوّناً فرعياً مخصصاً هو (4-2) الأمن السيبراني المتعلق بالحوسبة السحابية والاستضافة، وهو ملزم للجهات الخاضعة للضوابط التي تستخدم الخدمات السحابية أو تخطط لاستخدامها. ويشترط حماية بيانات الجهة وفق مستوى تصنيفها، وإعادتها بصيغة قابلة للاستخدام عند انتهاء الخدمة، وفصل بيئة الجهة عن بيئات الجهات الأخرى لدى مزوّد الخدمة. وتذهب ضوابط الأمن السيبراني للحوسبة السحابية (CCC-2:2024) أبعد من ذلك بالنسبة لمزوّدي الخدمات السحابية وللجهات الحكومية وجهات البنية التحتية الوطنية الحساسة المستفيدة منها. واللافت أن الإصدار الجديد نقل ضوابط توطين البيانات إلى مكتب إدارة البيانات الوطنية في سدايا، فأصبحت أسئلة التوطين تُوجَّه إلى سدايا قبل اتخاذ أي إجراء. وللاطلاع على الضوابط كاملة راجع دليلنا للضوابط الأساسية للأمن السيبراني.
تسجيل مزوّدي الخدمة: فئات هيئة الاتصالات والفضاء والتقنية
تسجّل هيئة الاتصالات والفضاء والتقنية مزوّدي الخدمات السحابية ضمن فئات تحدد نوع البيانات المسموح لهم باستضافتها. فالفئة (أ) تشمل البيانات الحكومية العامة، والفئة (ب) تضيف البيانات الحكومية السرية، والفئة (ج) تغطي جميع مستويات البيانات الحكومية حتى السري للغاية. ويمكن لأحمال عمل القطاع الخاص استخدام أي فئة مسجلة، أما الجهات الحكومية وشبه الحكومية فعليها مطابقة فئة المزوّد مع تصنيف بياناتها.
ما المناطق السحابية المتاحة داخل المملكة؟
نمت السعة السحابية الكبرى داخل المملكة بسرعة، لكن التوفر يختلف من مزوّد لآخر ومن خدمة لأخرى. لذا تحقّق دائماً من قائمة الخدمات المتاحة فعلياً في المنطقة المحددة قبل بناء التصميم عليها.
| المزوّد | الوضع داخل المملكة (أكتوبر 2026) | ما الذي يجب التحقق منه |
|---|---|---|
| Google Cloud | منطقة الدمام (me-central2) قيد التشغيل، ويشتري العملاء المسجّلون بعنوان فوترة سعودي عبر CNTXT بصفتها الموزّع الحصري (توثيق Google Cloud) | مسار الفوترة وتوفر كل خدمة |
| Microsoft Azure | منطقة Saudi Arabia East في المنطقة الشرقية بثلاث مناطق توافر، مؤكدة لتشغيل أحمال العملاء اعتباراً من الربع الرابع 2026 (إعلان مايكروسوفت) | الخدمات التي تُطلق أولاً وموقع بيانات Microsoft 365 |
| AWS | أُعلن عن منطقة سعودية في مارس 2024 ومن المقرر إطلاقها في 2026 | تأكيد موعد الإطلاق وقائمة الخدمات قبل الالتزام |
| مزوّدون محليون | مزوّدون سعوديون مسجلون لدى الهيئة، منهم مزوّدون من الفئة (ج) للبيانات الحكومية المصنّفة | فئة التسجيل مقابل تصنيف بياناتك |
وإذا لم تتوفر خدمة ما داخل المملكة بعد، فليس القرار تلقائياً هو الانتظار؛ بل يعتمد على تصنيف بيانات ذلك النظام وعلى ما تسمح به سدايا والجهة التنظيمية لقطاعك. ويشرح مقالنا عن الحوسبة السحابية وتوطين البيانات في السعودية طريقة رسم هذه الخريطة.
سحابة عامة أم خاصة أم هجينة؟
الإجابة الصادقة لمعظم المنشآت السعودية هي البنية الهجينة. فاختيار المنصة يعتمد على تصنيف أحمال العمل، والمتطلبات التنظيمية، والأدوات القائمة لدى المنشأة. وفرض نموذج واحد على كل الأنظمة ينتهي عادة إما بإنفاق زائد على بنية خاصة، أو بمخاطرة تنظيمية في السحابة العامة.
| نوع النظام أو البيانات | المكان المعتاد | السبب |
|---|---|---|
| البيانات التشغيلية المصنّفة أو شديدة الحساسية | بنية محلية أو مزوّد من الفئة (ج) | قواعد التصنيف والقطاع |
| الأنظمة القديمة عالية التعقيد | إبقاؤها محلياً وتحديثها لاحقاً | مخاطر النقل وتكلفته تفوق الفائدة حالياً |
| الخلفيات البرمجية للمواقع والتطبيقات الموجّهة للعملاء | منطقة سحابية عامة داخل المملكة | مرونة التوسع وسرعة الاستجابة والتوطين |
| التعافي من الكوارث والنسخ الاحتياطي | موقع أو منطقة ثانية داخل المملكة | الصمود دون نقل البيانات خارج الحدود |
| أدوات التعاون والتحليلات والأنظمة السحابية الجديدة | السحابة العامة (البرمجيات كخدمة أولاً) | أسرع وصول إلى القيمة |
كيف تبني استراتيجية الترحيل إلى السحابة خطوة بخطوة؟
- الحصر والتصنيف: أعدّ قائمة بكل تطبيق وبياناته واعتمادياته ومالكه في الإدارة، وصنّف البيانات وفق سياسة المنشأة ومستويات التصنيف الصادرة عن مكتب إدارة البيانات الوطنية.
- تحديد مسار لكل تطبيق: استخدم استراتيجيات الترحيل الست الموضحة أدناه، فليس كل نظام يستحق النقل، وبعضها ينبغي إيقافه.
- بناء بيئة الأساس أولاً (Landing Zone): جهّز الشبكات الافتراضية الخاصة والتقسيم الشبكي، وإدارة الهويات والصلاحيات مع التحقق متعدد العوامل، والسجلات والمراقبة المركزية، وضوابط السياسات المتوافقة مع الضوابط الأساسية للأمن السيبراني، قبل وصول أي نظام.
- موجة تجريبية: ابدأ بالأنظمة غير الحرجة كي تبني الفرق قدراتها التشغيلية السحابية قبل أن تعتمد عليها الأنظمة الحرجة.
- الترحيل على موجات مع خطة تراجع: اجمع التطبيقات حسب اعتمادياتها، واحتفظ بمسار تراجع مُختبَر لكل موجة للحد من أثر أي مفاجأة تشغيلية.
- التحويل والإيقاف: حوّل حركة المستخدمين، وتحقق من سلامة كل شيء، ثم أوقف الخوادم القديمة فعلاً، فالتشغيل المزدوج من أكبر التكاليف الخفية.
- التحسين المستمر: اضبط أحجام الموارد، واستخدم الحجوزات طويلة الأجل حين يكون الطلب مستقراً، وراجع التكلفة والوضع الأمني شهرياً.
استراتيجيات الترحيل الست (6Rs)
| الاستراتيجية | معناها | متى تناسب |
|---|---|---|
| إعادة الاستضافة (Rehost) | نقل الخوادم الافتراضية كما هي | حين تكون السرعة أهم من التحسين، أو عند موعد إخلاء مركز بيانات |
| تعديل المنصة (Replatform) | تغييرات محدودة مثل الانتقال إلى قاعدة بيانات مُدارة | وفورات تشغيلية سريعة بأقل تعديل برمجي |
| إعادة الهيكلة (Refactor) | إعادة تصميم النظام بخدمات سحابية أصيلة أو حاويات | الأنظمة الأساسية التي تحتاج توسعاً وإصدارات أسرع |
| إعادة الشراء (Repurchase) | الاستبدال بمنتج برمجيات كخدمة | الوظائف العامة مثل البريد أو الموارد البشرية |
| الإيقاف (Retire) | إيقاف التطبيق نهائياً | الأنظمة المكررة أو غير المستخدمة التي يكشفها الحصر |
| الإبقاء (Retain) | إبقاء النظام محلياً في الوقت الحالي | البيانات المصنّفة أو الأنظمة القديمة المعقدة أو غياب المبرر الاقتصادي |
لماذا تُعد DevOps متطلباً للترحيل لا فكرة لاحقة؟
ينبغي بناء منظومة DevOps، أي مسارات التكامل والنشر المستمر (CI/CD)، والبنية التحتية كرمز (IaC)، والاختبار المؤتمت، كجزء من الترحيل لا بعده. فالمنشآت التي تنقل أنظمتها دون هذه الممارسات تجد نفسها أمام بيئة سحابية أصعب في تشغيلها بموثوقية من مركز البيانات الذي تركته. كما تمنح البنية التحتية كرمز المدققين دليلاً ملموساً؛ فكل قاعدة شبكية وإعداد تشفير وسياسة صلاحيات يصبح موثقاً بالإصدارات وقابلاً للمراجعة، وهذا يجعل إثبات التوافق مع ضوابط الهيئة الوطنية للأمن السيبراني أسهل بكثير من لقطات الشاشة. فالترحيل هو اللحظة المناسبة لتأسيس القاعدة التشغيلية التي تحتاجها السحابة لتحقق قيمتها الكاملة.
ما الذي يحدد تكلفة الترحيل إلى السحابة؟
تتفاوت التكاليف كثيراً بحسب حجم البيئة ومزيج الاستراتيجيات المختارة، لذا تعامل بحذر مع أي رقم منفرد. أما محركات التكلفة الرئيسية فمعروفة:
- جهد إعادة الهيكلة: كلما زاد عدد التطبيقات المعاد تصميمها ارتفعت التكلفة الأولية وزادت الفائدة على المدى الطويل.
- التشغيل المزدوج: دفع تكلفة البيئتين القديمة والجديدة معاً، ويقلّصها التحويل السريع المنضبط.
- التراخيص: بعض تراخيص المؤسسات يمكن نقلها إلى السحابة وبعضها لا، فتحقق قبل اختيار أنواع الخوادم.
- نقل البيانات وفئات التخزين: رسوم إخراج البيانات ومدة الاحتفاظ بالنسخ الاحتياطية تتراكم بهدوء.
- المهارات والتشغيل: التدريب والخدمات المُدارة وأدوات المراقبة.
وتأتي الوفورات من الدمج والأتمتة وإيقاف الأنظمة القديمة، لا من السحابة وحدها. ففي دراسة حالة الترحيل إلى السحابة ودمج المنظومة التقنية المنشورة لدينا، حققت بنية هجينة على AWS مع هوية موحّدة ومراقبة مركزية وDevOps مؤتمتة وضوابط متوافقة مع الهيئة الوطنية للأمن السيبراني خفضاً بنسبة 40% في أعباء البنية التحتية، ووضعاً أمنياً مركزياً مع مراقبة مستمرة للامتثال.
ما أكثر أخطاء الترحيل إلى السحابة شيوعاً؟
- الترحيل قبل تصنيف البيانات، ثم اكتشاف أن نظاماً ما لا يجوز نظاماً أن يُستضاف حيث نُقل.
- تجاوز بيئة الأساس وإضافة الهويات والسجلات وضوابط الشبكة لاحقاً بشكل مرتجل.
- افتراض أن كل خدمة متاحة في المنطقة السحابية داخل المملكة.
- تأجيل التعافي من الكوارث إلى ما بعد التشغيل، والأصح التخطيط له ضمن البنية المستهدفة كما يوضح دليلنا لخطة التعافي من الكوارث واستمرارية الأعمال.
- عدم إيقاف البيئة القديمة أبداً، فترتفع التكاليف بدلاً من أن تنخفض.
ما الخطوة التالية؟
ابدأ بحصر الأنظمة وتصنيف البيانات؛ فهي خطوة قليلة التكلفة تجيب عن معظم أسئلة الاستضافة. ثم صمّم بيئة الأساس وفق الضوابط الأساسية للأمن السيبراني وقواعد قطاعك قبل نقل أي شيء. وتصمّم أمواج للحلول وتنفّذ برامج الترحيل إلى السحابة للمنشآت السعودية، مع دمج الامتثال لنظام حماية البيانات الشخصية والتوافق مع ضوابط الهيئة الوطنية للأمن السيبراني وأتمتة DevOps في الخطة منذ اليوم الأول، ونقدّم تصميم البنية الأمنية عبر خدمة الأمن السيبراني والامتثال.
تكامل تقنية المعلومات
الأسئلة الشائعة
هل يجوز للشركات السعودية استخدام السحابة وفق نظام حماية البيانات الشخصية؟
نعم. لا يمنع النظام استخدام الخدمات السحابية، لكنه يُلزم بحماية البيانات الشخصية واحترام حقوق أصحابها والالتزام بأحكام نقلها إلى خارج المملكة. واستخدام منطقة سحابية داخل المملكة يسهّل الامتثال، لكنك ما زلت تحتاج إلى عقود واضحة وضوابط صلاحيات وإجراءات للإشعار بالتسرب وسجلات توضح أين تُخزَّن البيانات وتُنسخ.
هل يجب أن تبقى بيانات منشأتي داخل المملكة؟
يعتمد ذلك على نوع البيانات وقطاعك. فبيانات الجهات الحكومية والبنية التحتية الوطنية الحساسة تخضع لأشد متطلبات التوطين، وأصبح مكتب إدارة البيانات الوطنية في سدايا هو المرجع فيها. أما البيانات الشخصية فلا تُنقل خارج المملكة إلا وفق لائحة النقل. وتختار شركات خاصة كثيرة الاستضافة المحلية افتراضياً لتجنّب أسئلة النقل وتحسين سرعة الاستجابة.
ما مزوّدو الخدمات السحابية الذين لديهم مناطق داخل السعودية؟
تشغّل Google Cloud منطقة الدمام وتبيعها للعملاء في المملكة عبر CNTXT، وأكدت مايكروسوفت تشغيل منطقة Saudi Arabia East في المنطقة الشرقية لأحمال العملاء اعتباراً من الربع الرابع 2026، وأعلنت AWS عن منطقة سعودية في مارس 2024. كما يعمل مزوّدون سعوديون مسجلون لدى هيئة الاتصالات والفضاء والتقنية، منهم مزوّدون من الفئة (ج).
كم يستغرق مشروع الترحيل إلى السحابة؟
تعتمد المدة على عدد التطبيقات، وكم منها يُعاد تصميمه بدلاً من نقله كما هو، ومدى تعقيد تصنيف البيانات. فترحيل عدد محدود من الأنظمة قد يستغرق بضعة أشهر، بينما يمتد البرنامج المؤسسي الكامل عادة على موجات تتجاوز عاماً. وبناء بيئة الأساس وموجة تجريبية أولاً يختصر الموجات اللاحقة كثيراً.
ما المقصود ببيئة الأساس السحابية (Landing Zone)؟
هي الأساس المُعدّ مسبقاً الذي تستقر عليه جميع الأنظمة: هيكل الحسابات، وتقسيم الشبكة، وإدارة الهويات والصلاحيات مع التحقق متعدد العوامل، والسجلات والمراقبة، وإعدادات التشفير الافتراضية، وضوابط السياسات. وبناؤها أولاً كرمز برمجي متوافق مع الضوابط الأساسية للأمن السيبراني يجعل كل تطبيق مُرحَّل يرث أمناً متسقاً بدلاً من تأمين كل نظام على حدة.
هل يخفض الانتقال إلى السحابة تكاليف تقنية المعلومات؟
ليس تلقائياً. فالوفورات تأتي من دمج الأنظمة، وأتمتة التشغيل، وضبط أحجام الموارد، وإيقاف البنية القديمة. أما النقل كما هو دون تحسين فقد يكلّف أكثر من مركز البيانات الذي حلّ محله. وفي دراسة الحالة المنشورة لدينا، حقق الدمج والهوية الموحّدة وأتمتة DevOps خفضاً بنسبة 40% في أعباء البنية التحتية.