الخلاصة يُلزم المرسوم الرئاسي رقم 26-07 المؤرخ في 7 يناير 2026 كل مؤسسة وإدارة وهيئة عمومية بإنشاء هيكل مخصص لأمن أنظمة معلوماتها، منفصل عن مصلحة الإعلام الآلي وملحق بالمسؤول الأول. ليس هذا منصبًا إضافيًا في الهيكل التنظيمي: إنه وظيفة رقابة، ذات مهام محددة، يجب أن توجد وأن تحقق نتائج.
ما ينص عليه النص
ينظم المرسوم الرئاسي رقم 26-07 المؤرخ في 7 يناير 2026، المنشور في الجريدة الرسمية بتاريخ 21 يناير 2026، أمن أنظمة المعلومات في المؤسسات والإدارات والهيئات العمومية، وكذا في الهيئات الموضوعة تحت وصايتها.
ويندرج في إطار الاستراتيجية الوطنية للأمن السيبراني 2025-2029، التي اعتُمدت في أواخر ديسمبر 2025 وأعلنتها للعموم في مارس 2026 وكالة أمن أنظمة المعلومات (ASSI)، التابعة لوزارة الدفاع الوطني.
يتلخص المبدأ المحوري في جملة واحدة: يجب أن يتوفر لدى كل كيان معني هيكل مكلف بأمن أنظمة معلوماته، منفصل عن الهيكل الذي يستغل هذه الأنظمة، وملحق مباشرة بمسؤوله الأول.
مهام الهيكل
وفقًا لما نُشر من عروض للنص، يتولى الهيكل المهام التالية:
- إعداد سياسة أمن أنظمة المعلومات الخاصة بالكيان ومتابعة تطبيقها، بما يتسق مع الاستراتيجية الوطنية؛
- إعداد خريطة المخاطر وقيادة خطط معالجتها؛
- ضمان مراقبة مستمرة للأنظمة؛
- الإبلاغ دون تأخير عن الحوادث الأمنية؛
- إجراء عمليات تدقيق أمني وفق رزنامة محددة مسبقًا؛
- السهر، بالتنسيق مع السلطة الوطنية المختصة، على مطابقة معالجات المعطيات ذات الطابع الشخصي؛
- العمل مع الهيكل المكلف بالصفقات العمومية، حتى تتضمن عقود المناولة بنودًا أمنية.
مجتمعةً، تصف هذه المهام وظيفة قيادة ورقابة، لا فريقًا تقنيًا إضافيًا.
لماذا يهم الفصل عن الإعلام الآلي
ليس الفصل إجراءً شكليًا. تُقيَّم مصلحة الإعلام الآلي على أساس التوفر: أن تشتغل التطبيقات، وأن يُخدَم المستخدمون، وأن تتقدم المشاريع. أما الأمن فيتطلب أحيانًا العكس: رفض منح صلاحية وصول، أو تأجيل وضع تطبيق حيز الإنتاج، أو قطع خدمة مكشوفة.
عندما يتولى الفريق نفسه المهمتين، يخسر الأمن التحكيم دائمًا تقريبًا، ولا أحد يراقب من يدير الأنظمة. أما هيكل مستقل ملحق بالمسؤول الأول فيجعل هذه التحكيمات مرئية، ويرفع المخاطر إلى حيث تُتخذ القرارات.
ما يعرقل في أغلب الأحيان
إنشاء الهيكل أمر سريع. أما تشغيله فيفترض عناصر كثيرًا ما تكون غائبة:
- جرد للأصول. لا يمكن حماية ما لا نعرفه: الخوادم، التطبيقات، الحسابات، صلاحيات وصول مقدمي الخدمات.
- سجلات قابلة للاستغلال. دون آثار محفوظة، تستحيل المراقبة أو التحقيق بعد وقوع حادث.
- نسخ احتياطية تم التحقق منها. النسخة الاحتياطية التي لم تُسترجع قط في اختبار ليست ضمانًا.
- إجراء للإبلاغ. عبارة «دون تأخير» تفترض معرفة من ينبّه من، وعبر أي قناة، وبأي معلومات.
- عقود مناولة محيَّنة. كثير من الصفقات الجارية لا تتضمن بندًا أمنيًا، ولا التزامًا بالإبلاغ عن الحوادث.
من أين نبدأ: خمس خطوات
- تعيين المسؤول وإضفاء الطابع الرسمي على إلحاقه، بقرار مكتوب يحدد مهامه ووصوله إلى الإدارة العليا.
- إعداد الجرد وخريطة المخاطر، بدءًا بالأنظمة التي يقوم عليها النشاط وتلك التي تحمل المعطيات الشخصية. هذه هي نقطة الانطلاق في تدقيق نظام المعلومات.
- صياغة سياسة أمنية مختصرة وقابلة للتطبيق، متوافقة مع الاستراتيجية الوطنية، بدلًا من وثيقة شاملة لا يقرؤها أحد.
- كتابة إجراء تسيير الحوادث، من الاكتشاف إلى الإبلاغ، واختباره مرة واحدة من خلال تمرين.
- التخطيط لعمليات التدقيق ومراجعة الصفقات، حتى يتضمن كل عقد خدمات جديد متطلبات أمنية.
تتقاطع هذه الخطوات إلى حد كبير مع الإجراءات الأساسية التي نوصي بها أيضًا الشركات الخاصة في قائمة التحقق الخاصة بالأمن السيبراني.
وماذا عن الشركات الخاصة؟
لا ينطبق المرسوم عليها مباشرة. لكن كل شركة تعمل لصالح هيئة عمومية، بصفتها موردًا أو مدمج أنظمة أو مناولًا، ستكون معنية بالبنود الأمنية التي ستُدرجها هذه الهيئات في صفقاتها. وتصبح القدرة على وصف إجراءاتها الأمنية ونسخها الاحتياطية وإجراءاتها عند وقوع حادث حجةً، ثم شرطًا.
ثم إن التهديدات التي تستهدف المؤسسات الجزائرية الصغيرة والمتوسطة هي نفسها التي تطال الهيئات العمومية، وغالبًا عبر المسلك نفسه: وصول مقدم خدمات غير محمي جيدًا.
ما لم يحدده النص بعد
إلى غاية تاريخ هذا المقال، لم نعثر على نص تطبيقي منشور يحدد أجلًا للتنفيذ، أو حدًّا أدنى من الموظفين، أو مواصفات نموذجية لمسؤول الهيكل. وقد تُوضَّح هذه النقاط بنصوص لاحقة أو من طرف ASSI. وفي انتظار ذلك، فإن القراءة الصحيحة هي قراءة المهام: الهيكل الذي لا يعدّ خريطة المخاطر ولا يراقب ولا يدقق لا يفي بالالتزام، مهما كانت تسميته.
الأسئلة الشائعة
ما الهيئات المعنية بالمرسوم 26-07؟
المؤسسات والإدارات والهيئات العمومية، وكذا الهيئات الموضوعة تحت وصايتها. ويجب أن يتوفر لدى كل منها هيكلها الخاص المكلف بأمن أنظمة معلوماتها.
هل يمكن لمسؤول الإعلام الآلي أن يرأس هذا الهيكل؟
يفرض النص هيكلًا منفصلًا عن الهيكل الذي يستغل أنظمة المعلومات. وإسناد الدورين إلى الشخص نفسه يُفرغ هذا الفصل من معناه: من يدير الأنظمة لا يمكن أن يكون هو من يراقبها.
هل يمكن الاستعانة بمقدم خدمات خارجي؟
يبقى الهيكل ومسؤوليته داخليين، لكن يمكنه الاعتماد على مقدمي خدمات لمهام محددة: التدقيق، أو إعداد خريطة المخاطر، أو اختبارات الاختراق، أو صياغة الإجراءات، أو تكوين الفرق.
المصادر: Algérie360، TSA، Radio Algérie. النص المرجعي هو الجريدة الرسمية الصادرة بتاريخ 21 يناير 2026، المتاحة على joradp.dz.