العنوان والمفتاح والبوّاب

يوم الأحد، الساعة السادسة مساءً. بدا كل شيء جاهزًا. في المواقع الإلكترونية لشركة صغيرة أتابع عملها، كان على من يريد ملف PDF أن يترك بريده الإلكتروني، فيُرسَل إليه المستند بالبريد. في المقالات نجح الأمر. أما في الموسيقى فلا: كانت الملفات تُنزَّل دون أن تطلب شيئًا من أحد.

كان البرنامج سليمًا. الخطأ كان في مكان مفتاح واحد. بقي المفتاح في خزنة الغرفة 101، بينما طلبه النزيل من مكتب استقبال الغرفة 102.

تشرح هذه المقالة، بأشياء يعرفها الجميع (رسالة، ومبنى، وفندق، وجهاز صراف آلي)، خمس أفكار يحتاج إليها أي شخص قبل أن يطلب إنشاء موقع إلكتروني أو يصممه أو يحميه: العنوان، والمفتاح، والبوّاب، والإيصال المختوم، والجهة التي نسقط نحوها حين يتعطل شيء ما. وفي الختام تبيّن لماذا كل هذا هو بالضبط ما يطلبه قانون الأمن السيبراني الأوروبي، NIS2، من الشركات.

هذا هو العدد 1 من نشرة «A Chave e o Porteiro» (المفتاح والبوّاب)، عن الأمن السيبراني بلغة بسيطة. وفي الختام أشرح لمن هي، وكيف تُقرأ، ومسار الأعداد القادمة.

للتذكّر. لا تحتاج إلى معرفة بالحاسوب لقراءة هذه المقالة. إذا كنت تعرف كيف ترسل رسالة، وتستعمل جهاز الصراف الآلي، وتترك معطفك في غرفة حفظ المعاطف، فأنت تعرف الأساس.

1. العنوان: المبنى والطابق والقاعة

حين تكتب رسالة إلى جدتك، تكتب العنوان من الأدق إلى الأعم: الاسم، ثم الشارع، ثم الطابق، ثم المدينة، ثم البلد. أما ساعي البريد فيقرؤه بالعكس: البلد أولًا، ثم المدينة، ثم الشارع، وفي النهاية الباب.

عناوين الإنترنت تعمل بالطريقة نفسها. انظر إلى هذا العنوان: artigos.exemplo.pt/musica/cancao/.

• .pt هو البلد (أو الفئة، مثل .com).
• exemplo هو المبنى. ومعًا يُسمّى exemplo.pt النطاق: إنه العنوان الذي اشترته الشركة ولا يجوز لغيرها استعماله، مثل قطعة أرض مسجّلة في السجل العقاري.
• artigos. هو الطابق، ويُسمّى النطاق الفرعي: طابق له باب وجرس خاصان به، داخل المبنى نفسه. ويُكتب قبل النطاق، ويُفصل عنه بنقطة.
• /musica/cancao/ هو القاعة داخل الطابق، ويُسمّى المسار، ويُكتب بعد النطاق، ويُفصل بشرطات مائلة.

يضع الجدول 1 هذه الأجزاء جنبًا إلى جنب.

ما الذي يبيّنه الشكل 1. في الأعلى المبنى، exemplo.pt. وتحته أربعة طوابق: طابق الشركة (دون بادئة)، وطابق مقالات المؤلف، ولوحة بيانات، ولوحة ثانية. وإلى جانب كل طابق خزنة. ما يُحفظ في خزنة لا يظهر في الخزائن الأخرى، تمامًا كما أن خزنة الغرفة 101 في الفندق لا تُفتح برمز الغرفة 102. وهذا أمر جيد، لأنه إذا اقتحم أحدهم غرفة بقيت الغرف الأخرى مقفلة. لكنه يُلزمنا بوضع كل مفتاح في خزنة الغرفة التي ستستعمله. وهنا بالذات أخطأنا يوم الأحد.

من يعرف مكان كل طابق؟ دفتر العناوين في الهاتف

في الهاتف المحمول تضغط على «أمي» فيطلب الهاتف الرقم. لا حاجة إلى حفظ الرقم. وفي الإنترنت يُسمّى دفتر العناوين هذا DNS (نظام أسماء النطاقات): حين تكتب painel.exemplo.pt، يبحث DNS عن رقم الحاسوب الذي يحفظ هذا الطابق ويوصلك به. وفتح طابق جديد يعني إضافة جهة اتصال إلى الدفتر.

للتذكّر. النطاق = المبنى. النطاق الفرعي = الطابق. المسار = القاعة. DNS = الدفتر الذي يحوّل الأسماء إلى أرقام.

2. قبل الرسم: أسئلة المهندس المعماري الخمسة

لا أحد يبني بيتًا بدءًا بلون الجدران. أولًا يُسأل: من سيسكنه، ومن أين يُدخَل إليه، وأين تُحفظ الأشياء الثمينة، ومن يحمل المفاتيح، ومن أين يُخرَج إذا شبّ حريق. والموقع الإلكتروني كذلك.

• لمن كل طابق؟ طابق لكل جمهور. موقع الشركة، ومقالات المؤلف، ولوحة البيانات تخدم أناسًا مختلفين. وإذا كانت كلها في طابق واحد، فإن أعمال الصيانة في أحدها تزعج الآخرين.
• من أين يُدخَل؟ لكل صفحة عنوان رسمي واحد. وحين تنتقل إلى قاعة أخرى يُترك إشعار، كمن يطلب من مكتب البريد تحويل رسائله حين ينتقل إلى بيت جديد. وفي الإنترنت يُسمّى ذلك إعادة التوجيه 301: من كان لديه العنوان القديم، في ملف PDF أو رسالة بريد أو منشور قديم، يصل دائمًا إلى العنوان الجديد.
• ما الذي يبقى مقفلًا بالمفتاح؟ كل ما يُقرأ يبقى مفتوحًا، مثل واجهة متجر. أما ما يأخذه المرء معه إلى بيته (ملف PDF، حزمة موسيقى) فيُسلَّم لمن يترك بريده الإلكتروني، مثل بطاقة الضمان التي لا تُحرَّر إلا لمن يعطي اسمه.
• من يحفظ المفاتيح؟ ليس شيفرة الموقع أبدًا. فالشيفرة يقرؤها عدة أشخاص وأدوات، مثل مخطط البيت الذي يُعرض على المقاولين. وكتابة مفتاح في الشيفرة تعني إلصاق مفتاح البيت على المخطط.
• نحو أي جهة نسقط حين يتعطل شيء ما؟ هذا هو السؤال الذي لا يطرحه أحد تقريبًا. وهو الذي أوقعنا يوم الأحد، وقد خُصّص له القسم 6 وحده.

3. المفتاح: رقم سري لا يخص شخصًا

لإرسال رسالة بريد إلكتروني باسم [email protected]، لا يذهب الموقع ماشيًا إلى مكتب البريد. بل يسلّم رسائله إلى خدمة لإرسال البريد الإلكتروني، نسميها مكتب البريد. ويختم مكتب البريد كل رسالة بختم إلكتروني خاص بالنطاق، لكي يعرف Gmail أو Outlook أن الرسالة آتية فعلًا من الشركة وليس من منتحل.

مكتب البريد لا يقبل الرسائل من أي أحد. فهو يطلب مفتاحًا: سلسلة طويلة من الحروف والأرقام، كرقم سري طويل جدًا. ومن يملكه يستطيع إرسال الرسائل باسم الشركة. ولهذا يُسمّى سرًّا. إنه رقم سري لا يخص شخصًا، بل برنامجًا.

السر الجيد يتبع أربع قواعد، وكلها موجودة أصلًا في حياتنا اليومية. ويبيّنها الجدول 2.

• يُرى مرة واحدة. الرقم السري لبطاقة جديدة يصل في رسالة مغلقة؛ نحفظه ثم نرمي الرسالة. ومفتاح مكتب البريد كذلك لا يظهر إلا لحظة إنشائه. وإذا ضاع لا نطلب نسخة منه: بل ننشئ مفتاحًا جديدًا ونلغي القديم. والبوّاب يفعل الشيء نفسه: بعد حفظ المفتاح لا يظهر إلا بوصفه «قيمة مشفّرة»، ولا يستطيع حتى صاحبه قراءته من جديد.
• لا يفتح إلا ما يلزم. حين تترك سيارتك لعامل صفّ السيارات في فندق، تعطيه المفتاح الذي يشغّل المحرك، لا المفتاح الذي يفتح درج القفازات والصندوق الخلفي. ومفاتيحنا تؤدي عملين: إرسال البريد الإلكتروني وإدارة جهات الاتصال. ولا تمس المدفوعات ولا تستطيع حذف الحساب.
• له مدة صلاحية. لبطاقة الهوية وبطاقة المصرف مدة صلاحية. ومفاتيحنا صالحة لمدة سنة، وتتوقف عن العمل قبل ذلك إذا بقيت مدة طويلة دون استعمال. والمفتاح المنسي في درج يموت وحده في النهاية.
• مفتاح لكل باب. لا أحد يستعمل المفتاح نفسه للبيت والسيارة والمكتب. للمقالات مفتاح وللموسيقى مفتاح آخر. وإذا وجب إلغاء أحدهما، يستمر الآخر في العمل.

ولإنشاء المفتاح الجديد طلب مكتب البريد أيضًا رمزًا من ستة أرقام يولّده الهاتف المحمول. وهذا ما يحدث عند جهاز الصراف الآلي: يجب أن تملك البطاقة وأن تعرف الرقم السري. ويُسمّى هذا المصادقة الثنائية. ومن يسرق كلمة المرور دون الهاتف يبقى عند الباب.

للتذكّر. السر رقم سري للبرامج: يُرى مرة واحدة، ولا يفتح إلا ما يلزم، وله مدة صلاحية، ولكل باب سرّه. ولإنشائه يجب أن يكون الهاتف في يدك.

4. البوّاب: مكتب استقبال الفندق

خدمة استضافة المواقع وحمايتها، التي نسميها البوّاب، تؤدي دور مكتب الاستقبال في فندق. فهي تستقبل الجميع، في أي ساعة، ومن أي بلد، وتقرر ما تفعله مع كل زائر.

• تعطي كل واحد الغرفة التي طلبها، أي الصفحة. ولديها نسخ من الصفحات في مكاتب استقبال موزعة في أنحاء العالم، لكي تُفتح الصفحات بسرعة في لشبونة أو في ساو باولو.
• تحفظ خزنة لكل غرفة. في كل طابق قائمة «المتغيرات والأسرار»، منفصلة للفندق وهو يعمل (بيئة الإنتاج) ولغرفة التجربة (بيئة المعاينة).
• لديها موظفون يقضون المهمات: برامج صغيرة تُسمّى «الدوال»، تعمل حين يطلب نزيل شيئًا خاصًا، مثل استلام ملف PDF بالبريد الإلكتروني. وهم الذين يفتحون الخزنة ويستعملون المفتاح.
• تطبّق قواعد البيت عند الباب: إشعار تغيير العنوان (301)، والقفل على العنوان (HTTPS)، وقائمة ما يجوز لكل صفحة تحميله وما لا يجوز.

ثمة تفصيل يصعب فهمه. تغيير ما في الخزنة لا يغيّر شيئًا على الفور. فالبوّاب لا يبدأ باستعمال المفتاح الجديد إلا حين يُنشر الموقع من جديد. والأمر يشبه تغيير أقفال فندق: لا تبدأ بطاقات الغرف بفتح الأبواب إلا حين يعيد مكتب الاستقبال برمجتها.

للتذكّر. البوّاب يستقبل الزوار، ويحفظ خزنة لكل طابق، ولديه موظفون يستعملون المفاتيح. والمفتاح الجديد لا يُعتدّ به إلا بعد نشر الموقع من جديد.

5. الإيصال المختوم: كيف يُسلَّم ملف PDF بالبريد الإلكتروني

فكّر في غرفة حفظ المعاطف في مسرح. تترك معطفك وتستلم إيصالًا عليه رقم وختم. وفي النهاية تسلّم الإيصال وتستعيد معطفك. لا إيصال، لا معطف؛ والإيصال المرسوم باليد، دون ختم المسرح، لا قيمة له.

تسليم ملف PDF بالبريد الإلكتروني هو غرفة لحفظ المعاطف. ويبيّن الشكل 2 الخطوات السبع.

ما الذي يبيّنه الشكل 2. (1) يضغط القارئ على «تنزيل». (2) تنفتح نافذة لا تطلب إلا البريد الإلكتروني؛ والنشرات اختيارية ولا يُؤشَّر عليها مسبقًا. (3) يصل الطلب إلى أحد موظفي البوّاب، فيفتح خزنة الطابق ويُخرج مفتاح مكتب البريد. (4) يُعدّ الموظف الإيصال المختوم: رابطًا لا يصلح إلا لذلك الملف وصالحًا لسبعة أيام. (5) يرسل مكتب البريد الرسالة، بختم النطاق. (6) يضغط القارئ على الرابط في الرسالة. (7) يتحقق البوّاب من الختم، وعندئذ فقط يسلّم الملف. ومن يحاول الوصول إلى الملف مباشرة، دون الإيصال، يُعاد إلى الصفحة مع إشعار.

لماذا لا يستطيع أحد تزوير الختم: الحسابات خطوة خطوة

الختم سلسلة من 32 حرفًا ورمزًا، تُحسب انطلاقًا من اسم الملف وتاريخ انتهاء الصلاحية وسرّ لا يعرفه إلا البوّاب. ويمكن أن يكون كل حرف واحدًا من 64 رمزًا: 26 حرفًا لاتينيًا كبيرًا، و26 حرفًا صغيرًا، و10 أرقام، والشرطة، والشرطة السفلية.

• لكل حرف 64 احتمالًا. 64 = 2 × 2 × 2 × 2 × 2 × 2 = 2⁶. وبلغة الحواسيب، يساوي كل حرف 6 «بتات» (6 أسئلة جوابها نعم أو لا).
• 32 حرفًا تساوي 32 × 6 = 192 بتًا.
• عدد الأختام الممكنة هو 2¹⁹²، أي نحو 6.3 × 10⁵⁷: الرقم 6 يتبعه 57 رقمًا.
• تخيّل آلة تجرّب مليار (10⁹) ختم في الثانية، دون توقف، طوال الأيام السبعة التي يصلح فيها الإيصال. في الأسبوع 7 × 24 × 3,600 = 604,800 ثانية. والمجموع 604,800 × 10⁹ ≈ 6.0 × 10¹⁴ محاولة.
• احتمال الإصابة هو 6.0 × 10¹⁴ ÷ 6.3 × 10⁵⁷ ≈ 1 × 10⁻⁴³: صفر فاصلة، يتبعه 42 صفرًا، ثم الرقم 1.

ولتقريب الصورة: في الأرض كلها نحو 10⁵⁰ ذرة. والأختام الممكنة كثيرة إلى حدّ أنها تكفي لترقيم كل ذرة في 47 مليون كوكب مثل الأرض. وتخمين الختم الصحيح يعني أن تختار، وعيناك مغمضتان، ذرة واحدة بعينها في تلك الملايين السبعة والأربعين من الكواكب. وهو أقل احتمالًا بنحو 200 مرة من الفوز بالجائزة الكبرى في يانصيب «يورو مليونز» الأوروبي خمسة أسابيع متتالية.

للتذكّر. الأمان لا يأتي من إخفاء الملف. بل يأتي من أن الختم يستحيل تخمينه دون السر، تمامًا كإيصال غرفة المعاطف دون ختم المسرح.

6. نحو أي جهة نسقط: درس يوم الأحد

فكّر في بابين. مخرج الطوارئ في دار السينما يجب أن ينفتح حين تنقطع الكهرباء: لا يجوز أن يُحبس أحد في الداخل. وحاجز معبر السكة الحديدية يجب أن ينزل حين تنقطع الكهرباء: سيارة تنتظر خير من سيارة على القضبان. الأول يفشل مفتوحًا؛ والثاني يفشل مغلقًا. لا أحد منهما خطأ. الخطأ هو أن نبادل بينهما.

يوم الأحد كان مفتاح مكتب البريد في خزنة طابق المقالات. أما الموسيقى فتسكن طابقًا آخر، هو طابق الشركة. وحين طلب قارئ حزمة موسيقى، فتح موظف ذلك الطابق خزنته، فلم يجد مفتاحًا، فأجاب: «الإرسال بالبريد الإلكتروني معطَّل». وكانت النافذة قد صُمّمت كمخرج طوارئ: كي لا يبقى القارئ دون شيء أبدًا، سلّمته الملف مباشرة. خزنة تصرّفت كأنها مخرج طوارئ.

صُحّح أمران:

• ذهب المفتاح إلى الخزنة الصحيحة. أصبح لطابق الشركة الآن مفتاحه الخاص، أُنشئ له وحده، بالصلاحيتين نفسيهما وبمدة الصلاحية نفسها.
• صارت الملفات تفشل مغلقة. إذا تعذّر إرسال الرسالة، لا يخرج الملف من باب آخر: يرى القارئ «تعذّر الإرسال الآن. يُرجى المحاولة مرة أخرى بعد لحظات.» ودون الإيصال المختوم لا يفتح البوّاب، حتى لمن يعرف اسم الملف.

وفي الطريق وقع خطآن، يستحقان الذكر لأنهما الأكثر شيوعًا. الأول: في مكتب البريد نوعان من المفاتيح، كما توجد مفاتيح للباب ومفاتيح لصندوق البريد. يبدوان متشابهين ولا يفتحان الشيء نفسه. والثاني: حين لا نعرف إن كان المفتاح المحفوظ هو الصحيح، لا نحاول التخمين. بل ننشئ مفتاحًا جديدًا ونضعه فورًا في الخزنة، كمن يغيّر القفل حين لا يعرف من يملك نسخًا. المفتاح المشكوك في مصدره لا يُستعمل.

للتذكّر. أبواب الناس تفشل مفتوحة. والخزائن تفشل مغلقة. قبل التصميم، اسأل: من أي نوع كل باب؟

7. وما علاقة NIS2 بهذا كله؟

NIS2 هو قانون الأمن السيبراني الأوروبي: التوجيه (الاتحاد الأوروبي) 2022/2555 الصادر عن البرلمان الأوروبي والمجلس في 14 ديسمبر 2022 بشأن تدابير تحقيق مستوى عالٍ مشترك من الأمن السيبراني في جميع أنحاء الاتحاد (ترجمة غير رسمية للعنوان). وقد دخل حيّز التطبيق في البرتغال عبر Decreto-Lei n.º 125/2025, de 4 de dezembro (المرسوم بقانون البرتغالي رقم 125/2025 المؤرخ 4 ديسمبر)، وهو النظام القانوني الجديد للأمن السيبراني، النافذ منذ 3 أبريل 2026. والجهة المشرفة هي Centro Nacional de Cibersegurança (CNCS، المركز الوطني للأمن السيبراني في البرتغال).

فكّر في الفحص الفني الدوري للسيارات. فهو إلزامي لبعض المركبات دون غيرها. لكن العاقل يفحص المكابح حتى حين لا يُلزمه القانون بذلك. وتوجيه NIS2 مشابه: فهو يُطبَّق على الكيانات «الأساسية» و«المهمة» في القطاعات التي يعدّدها (الطاقة، والنقل، والصحة، والمياه، والبنية التحتية الرقمية، وخدمات تقنية المعلومات، ومقدّمي الخدمات الرقمية، وغيرها)، ويستثني في العادة المؤسسات الصغرى والصغيرة. الشركة التي تدير هذه المواقع مؤسسة صغرى، وهي من حيث المبدأ غير مُلزَمة اليوم بتوجيه NIS2 (استنتاج تقني يحتاج إلى تأكيد من مختص في القانون: فالمرسوم بقانون يشمل بعض الكيانات أيًّا كان حجمها، مثل بعض مقدّمي أسماء النطاقات ومقدّمي خدمات الثقة).

فلماذا الامتثال إذن؟ لثلاثة أسباب.

• لأنه هندسة جيدة، ولا يكلّف شيئًا تقريبًا حين يُعمل به من البداية، مثل تركيب مقابس مؤرَّضة عند تمديد الأسلاك الكهربائية.
• لأن العملاء سيطلبونه. يُلزم توجيه NIS2 الكيانات المشمولة بمراقبة أمن مورّديها. فالمستشفى يطلب اليوم من مورّد الوجبات شهادة سلامة الغذاء. والميناء أو مشغّل الطاقة أو المستشفى سيطلب من مورّدي تقنية المعلومات أدلة على الأمن السيبراني.
• لأن الأمور ستسوء يومًا ما. وفي ذلك اليوم، يكون الفرق بين «كان المفتاح في الخزنة الصحيحة، بمدة صلاحية وأدنى الصلاحيات» و«كان المفتاح في الشيفرة» هو الفرق بين فزعة عابرة وكارثة.

تعدّد المادة 21، الفقرة 2، من التوجيه عشرة تدابير، في البنود من (a) إلى (j). ويضعها الجدول 3 إلى جانب ما أُنجز وما بقي. ليس هذا إعلان مطابقة: إنه جرد صادق للوضع، يصلح قائمةً للعمل.

وعلى الكيانات المُلزَمة مُهَل لإبلاغ CNCS بالحوادث الجسيمة: إنذار مبكر خلال 24 ساعة من اكتشافها، وتحديث خلال 72 ساعة، وتقرير نهائي خلال 30 يوم عمل بعد انتهاء الأثر. والأمر يشبه تأمين السيارة: للإبلاغ عن الحادث مهلة. وتصل الغرامات على الكيانات الأساسية إلى 10 ملايين يورو أو 2% من رقم الأعمال العالمي، أيّهما أعلى.

ما الذي يبيّنه الشكل 3. البيوت الثلاثة التي يسكنها النظام. على اليمين مستودع الشيفرة: مخطط البيت، مع سجل كل أعمال البناء، يقرؤه عدة أشخاص، ولذلك لا سرّ فيه أبدًا. وفي الوسط البوّاب: مكتب الاستقبال، مع خزنة لكل طابق. وعلى اليسار مكتب البريد: من يصدر المفاتيح، ويحفظ قوائم جهات الاتصال، ويختم الرسائل باسم النطاق. وتروي الأسهم رحلة المفتاح: يولد في مكتب البريد، ويذهب إلى خزنة البوّاب بيد المسؤول عن الإدارة، ولا يمرّ أبدًا بالمخطط. ولدخول كل بيت من هذه البيوت ينبغي طلب العامل الثاني، أي رمز الهاتف.

من يؤدي كل دور من هذه الأدوار؟ هناك مورّدون كثيرون، في بلدان عديدة. ويعطي الجدول 5 أمثلة لكل دور، كي يتعرّف القارئ على الأسماء حين يصادفها. وهي أمثلة توضيحية، مرتّبة أبجديًا، دون توصية.

كيف نختار. ليس بالاسم، بل بما يضمنه كل مورّد: أين يحفظ البيانات (داخل الاتحاد الأوروبي أو خارجه، وهو ما له وزن في اللائحة العامة لحماية البيانات وفي توجيه NIS2)، وأي عامل ثانٍ يطلبه للدخول، وهل يسمح بمفاتيح بأدنى الصلاحيات وبمدة صلاحية. الأمر يشبه اختيار مصرف: ما يهمّ ليس الشعار، بل الخزنة.

8. ما اقترحته على السلطة، ولماذا ما زال مهمًا

ثمة فرق بين ما يُلزم به القانون وما تنصح به الهندسة. يحدّد قانون السير البرتغالي السرعة القصوى بـ120 كم/ساعة؛ لكنه لا يقول بأي سرعة نقود في الضباب. ذلك التقدير متروك للسائق.

في 14 أبريل 2026، أثناء المشاورة العامة على اللائحة التي تضع Decreto-Lei n.º 125/2025 موضع التنفيذ، قدّمت إلى CNCS عشرة مقترحات، نُشرت في المقالة «من الامتثال المعياري إلى المرونة التشغيلية: 10 مقترحات للنظام الجديد للأمن السيبراني». وامتدت المشاورة من 10 مارس إلى 22 أبريل 2026، وتلقّت مساهمات من 56 جهة وفردًا. وفي التقرير النهائي، الصادر في يونيو، صُنّفت المقترحات العشرة كلها «Não acolhido» (غير مقبول). وقد رويت الحصيلة في المقالة «النظام الجديد للأمن السيبراني: ما بقي دون إنجاز».

الوقائع، دون صفات. علّل CNCS الرفض بثلاث حجج: أن اللائحة تحدّد أصلًا تدابير دنيا إلزامية وشاملة؛ وأن التحقق منها يتبع مبدأ التناسب؛ وأن لكل كيان أن يعتمد تدابير أشدّ وفقًا لتحليله للمخاطر. ستة من المقترحات العشرة (1 و2 و4 و5 و8 و9) دافع عنها أيضًا، بكلمات أخرى، مشغّلون ومصنّعون للبنى التحتية الحيوية. وثلاثة (6 و7 و10) قدّمتها أنا وحدي. وفي نقطة واحدة، هي تدريب الكوادر المتخصصة (الضابط PR.FC-2، محور المقترح 9)، انتهى النص إلى التغيّر، عبر مساهمات أخرى.

ماذا يعني هذا لقارئ هذه المقالة؟ أن القانون هو الأرضية لا السقف. لقد قال المنظِّم بوضوح تام إن تجاوز الحد الأدنى قرار يعود إلى كل شركة. وهنا بالذات تعود المقترحات العشرة إلى النفع: لا بوصفها قانونًا، بل بوصفها قائمة بما تستطيع الشركة الحريصة فعله بمبادرة منها. ويشرحها الجدول 6 بصور هذه المقالة، ويبيّن أين يلامس كل منها حالة الطوابق والخزائن.

ثلاث صلات تستحق الإبراز.

• المقترح 5 يصحّح هذه المقالة نفسها. رمز الأرقام الستة في الهاتف جيد، لكنه ليس الأفضل. فموقع مزيّف يستطيع أن يطلبه ويستعمله في الدقيقة نفسها، كمن يسمع رقمًا سريًا يُقال بصوت عالٍ. أما مفاتيح الأمان المادية و«مفاتيح المرور» في الهاتف (معايير FIDO2) فتعمل كمفتاح البيت: لا تدور إلا في القفل الحقيقي ولا تنفع في باب مزيّف. ولمن يتولّى الإدارة، هذه هي الخطوة التالية.
• المقترح 6 ينظر إلى خزائن المستقبل. الحواسيب الكمومية، حين تتوفر على نطاق واسع، ستفتح بعض الأقفال التي نستعملها اليوم: تلك التي تحمي القفل على العنوان (HTTPS) وختم الرسائل (DKIM). أما ختم إيصال المعاطف، المصنوع بمفتاح سري مشترك، فيصمد أفضل بكثير. ومعرفة ما لدينا من أقفال هي الخطوة الأولى لاستبدالها في الوقت المناسب: ويُسمّى ذلك الجرد التشفيري.
• المقترح 1 هو درس الطوابق، بمقياس ميناء. فصلنا المواقع في طوابق، لكل منها خزنته، كي لا يفتح اقتحام أحدها الطوابق الأخرى. وفي ميناء أو محطة تحويل كهربائية، تفصل الفكرة نفسها المكاتب (شبكة Wi-Fi، والبريد الإلكتروني) عن الآلات التي تحرّك الرافعات والبوابات والقواطع. فإذا دخل فيروس من البريد الإلكتروني، يجب ألا يجد سلّمًا ينزل به إلى غرفة الآلات.

للتذكّر. القانون هو الأرضية لا السقف. ما لم يجعله المنظِّم إلزاميًا يبقى هندسة جيدة، ولكل شركة أن تفعله بمبادرة منها.

9. لتحمله في جيبك

• عنوان واحد، وطوابق عدة. نطاق فرعي لكل جمهور. ولكل طابق خزنته.
• عنوان رسمي واحد لكل صفحة، وإعادة توجيه (301) كلما تغيّر. الروابط المنشورة لا تنقطع أبدًا.
• لا مفتاح على المخطط. المفاتيح في خزنة الطابق الذي يستعملها، بأدنى الصلاحيات، وبمدة صلاحية، وبعاملين لإنشائها.
• الخزائن تفشل مغلقة. حين تنقص قطعة، يبقى الباب مغلقًا ويتلقى القارئ رسالة واضحة.
• القانون هو الأرضية لا السقف. الحد الأدنى الإلزامي نقطة البداية؛ والباقي يُقرَّر بحسب عاقبة كل عطل.
• تذوّق الحساء قبل أن تقدّمه. لم يظهر خطأ يوم الأحد إلا لأن أحدهم طلب حزمة موسيقى كما يفعل أي قارئ. والاختبار الأخير يكون دائمًا من الطرف إلى الطرف: الطلب، واستلام الرسالة، وفتح الرابط، وتجربة الطريق المختصر، ورؤية الباب مغلقًا.

الجدول 4 قاموس جيب بكلمات هذه المقالة.

ليس في شيء من هذا ما يخص المواقع الصغيرة وحدها. إنه المنطق نفسه في ميناء، أو في محطة يصل فيها كابل بحري إلى اليابسة، أو في مركز التحكم بشبكة كهرباء: العنوان علني، والأبواب قليلة ومعروفة، وكل مفتاح لا يفتح إلا ما يجب، وحين يتعطل شيء ما، يتعطل نحو الجهة الآمنة.

10. مسار هذه النشرة

لمن هي. لمن عليه أن يتخذ قرارات في الأمن دون أن يكون متخصصًا: صاحب الشركة الصغيرة، والمدير الذي يطلب إنشاء موقع، والتقني من مجال آخر، والمعلّم والطالب، وصانع القرار العام. وللشركات التي تريد أن تصبح مورّدة لمن يُلزمهم القانون أصلًا: الموانئ، ومشغّلو الطاقة، والمستشفيات، والنقل.

الوعد. في كل عدد: فكرة واحدة، وصورة من الحياة اليومية لا تُنسى، وثلاثة أشياء يمكن فعلها صباح الغد. لا مصطلحات دون شرح، ولا سياسة، ولا تخويف بوصفه حجة: وقائع فقط، والحسابات أمام الأعين.

كيف يُقرأ كل عدد. لكل الأعداد الأجزاء السبعة نفسها، كي يعرف القارئ دائمًا أين هو:

• القصة: حالة واقعية، تُروى دون أسماء شركات.
• الصورة: المفهوم مقارنًا بشيء يعرفه الجميع.
• الحسابات، إن وُجدت، خطوة خطوة، كأنها تُجرى باليد.
• ما يقوله القانون: البند من توجيه NIS2 أو من Decreto-Lei n.º 125/2025 الذي يقابله الموضوع.
• للتذكّر: الأساس في جملتين.
• صباح الغد: ثلاثة إجراءات ملموسة، مرتّبة من الأسهل.
• السؤال: سؤال للقرّاء، لمواصلة الحديث في التعليقات.

قواعد البيت. الأمثلة التقنية مجهولة الهوية دائمًا، مثل exemplo.pt في هذا العدد، كي لا يصلح أي عدد خريطةً لمن يريد مهاجمة أحد. ولا يظهر المورّدون إلا أمثلةً، مختلطين ومرتّبين أبجديًا. ويصدر كل عدد أولًا على الموقع، مع ملف PDF يُرسَل بالبريد الإلكتروني عند الطلب، ثم على لينكدإن حيث يجري النقاش. وتصدر الأعداد كل أسبوعين.

الأعداد القادمة. يبيّن الجدول 7 مسارًا ممكنًا للأشهر الستة المقبلة. وهو يتبع ترتيب تدابير NIS2 العشرة، ويستعيد واحدًا واحدًا المقترحات العشرة التي قدّمتها إلى CNCS: يبدأ بما يستطيع أي شخص فعله في بيته، وينتهي بالبنى التحتية الحيوية.

المسار ليس ثابتًا. إذا طلب القرّاء موضوعًا قبل آخر، يتغيّر الترتيب. أي موضوع تريد أن تراه في العدد 2؟ قل ذلك في التعليقات.

في Grupo Aprecisa.com نطبّق هذه القواعد الخمس في مواقعنا نحن، ونساعد شركات أخرى على تطبيقها: تلك التي يجب أن تمتثل لتوجيه NIS2، وتلك التي تريد أن تصبح مورّدة لمن يمتثل. وهذه المقالة تفتتح نشرة «A Chave e o Porteiro» (المفتاح والبوّاب): الأمن السيبراني بلغة بسيطة، كل أسبوعين.

ملاحظة منهجية

وقائع جرى التحقق منها. تأكّدت التدابير العشرة في المادة 21، الفقرة 2، في نص التوجيه (الاتحاد الأوروبي) 2022/2555 (OJ L 333, 27.12.2022). وتأكّدت التواريخ ومُهَل الإبلاغ والغرامات في Decreto-Lei n.º 125/2025 في ملخّصين قانونيين مستقلين (PLMJ وCuatrecasas)، وتاريخ النفاذ في ECIJA؛ ويُنصح بقراءة النص الرسمي في Diário da República (الجريدة الرسمية البرتغالية) قبل أي قرار قانوني. المؤلف ليس مختصًا في القانون؛ وهذه المقالة تقنية.

وقائع جرت ملاحظتها. واقعة 25 أكتوبر 2026، وصلاحيات مفاتيح خدمة إرسال البريد الإلكتروني ومدة صلاحيتها وانتهاؤها بسبب عدم الاستعمال، والتحقق الثنائي، وفصل الأسرار بحسب المشروع وبحسب البيئة في خدمة الاستضافة، وضرورة إعادة النشر كي يسري السر، كلها لوحظت مباشرة في لوحات الإدارة وفي اختبارات من الطرف إلى الطرف أجراها المؤلف في ذلك اليوم.

حساب التوقيع. يستعمل التوقيع HMAC-SHA-256 (دالة توقيع بمفتاح سري)، مقتطعًا إلى 32 حرفًا بترميز base64url (64 رمزًا، 6 بتات لكل منها): 32 × 6 = 192 بتًا؛ 2¹⁹² = 6.277 × 10⁵⁷. المحاولات في 7 أيام بمعدل 10⁹ في الثانية: 7 × 86,400 × 10⁹ = 6.048 × 10¹⁴. الاحتمال: 6.048 × 10¹⁴ ÷ 6.277 × 10⁵⁷ = 9.6 × 10⁻⁴⁴. وتستعمل المقارنة مع «يورو مليونز» احتمال 1 من 139,838,160 للرهان الواحد: خمسة أسابيع متتالية تعطي (1/139,838,160)⁵ ≈ 1.9 × 10⁻⁴¹، وهو أرجح بنحو 200 مرة من إصابة التوقيع.

المقارنة مع ذرات الأرض. يُستعمل التقدير الشائع لعدد ذرات الأرض، وهو نحو 1.33 × 10⁵⁰ ذرة: 6.277 × 10⁵⁷ ÷ 1.33 × 10⁵⁰ ≈ 4.7 × 10⁷، أي نحو 47 مليون كوكب مثل الأرض. وهي رتبة مقدار، لإعطاء فكرة عن الحجم.

ما لا يُعرَض. لدواعي الأمان، لا تذكر المقالة قيم المفاتيح ولا معرّفات الحسابات ولا عناوين الإدارة الداخلية.

المراجع

1. Gaspar do Amaral — من الامتثال المعياري إلى المرونة التشغيلية: 10 مقترحات للنظام الجديد للأمن السيبراني (14/04/2026) — المقترحات العشرة المقدَّمة في المشاورة العامة
2. Gaspar do Amaral — النظام الجديد للأمن السيبراني: ما بقي دون إنجاز (25/06/2026) — حصيلة تقرير المشاورة العامة لـ CNCS: عشرة «غير مقبول»، وستة تلاقت مع مساهمات أطراف أخرى
3. Diretiva (UE) 2022/2555 (NIS2), artigo 21.º — Medidas de gestão dos riscos de cibersegurança — نص البنود من (a) إلى (j) في المادة 21 (تدابير إدارة مخاطر الأمن السيبراني)، بالإنجليزية
4. PLMJ — Transposição da Diretiva NIS 2: o novo Regime Jurídico da Cibersegurança — المرسوم بقانون رقم 125/2025: النطاق، ومُهَل الإبلاغ، والغرامات، والتسجيل لدى CNCS (بالبرتغالية)
5. Cuatrecasas — Novo Regime Jurídico da Cibersegurança — ملخّص المرسوم بقانون رقم 125/2025: إدارة المخاطر، والمصادقة متعددة العوامل، والتشفير (بالبرتغالية)
6. ECIJA — Novo Regime Jurídico da Cibersegurança entrou em vigor em Portugal — النفاذ في 3 أبريل 2026 (بالبرتغالية)

Gaspar do Amaral · الأصل البرتغالي بتاريخ 26 أكتوبر 2026، منشور في هذا الموقع؛ صدرت الترجمة في 27 أكتوبر 2026 · الأشكال والجداول © Aprecisa.com · بالاستعانة بالذكاء الاصطناعي