أمن البيانات الصحية وتكاملها في السعودية: ما يحتاجه كل مقدم رعاية في 2026

أمن البيانات الصحية وتكاملها وجهان لالتزام واحد: يجب أن تنتقل معلومات المريض بسلاسة بين من يحتاجونها، وأن تُحمى من كل من سواهم. وفي السعودية، انتقل الأمران من شأن تقني إلى متطلب امتثال على مستوى مجالس الإدارة.

فمع رقمنة المستشفيات والعيادات والمنصات الصحية ضمن رؤية 2030، شدّدت المملكة القواعد: ضوابط وطنية جديدة للأمن السيبراني تشمل مقدمي الخدمة الخاصين من غير البنية التحتية الحساسة، ونظام حماية البيانات الشخصية مطبق بالكامل، ومنصة نفيس الوطنية تتوقع تبادل البيانات بمعيار موحد.

أبرز النقاط

• القطاع الصحي الأعلى كلفة عند الاختراق. بلغ متوسط كلفة اختراق البيانات في القطاع الصحي 7.42 مليون دولار في 2025، الأعلى بين جميع القطاعات للعام الخامس عشر، واستغرق اكتشافه واحتواؤه 279 يوماً.
• الشرق الأوسط منطقة مرتفعة الكلفة. بلغ متوسط كلفة الاختراق في الشرق الأوسط 27 مليون ريال في 2025، وكان اختراق الطرف الثالث وسلسلة التوريد أكثر نقاط الدخول شيوعاً.
• القواعد تشمل القطاع الخاص الآن. اعتمدت الهيئة الوطنية للأمن السيبراني ضوابط الأمن السيبراني لجهات القطاع الخاص غير الحساسة في 28 ديسمبر 2025، إلى جانب الضوابط الأساسية للبنية التحتية الحساسة.
• التكامل إلزامي. تعتمد نفيس معيار HL7 FHIR لربط مقدمي الخدمة والدافعين والجهات التنظيمية.
• المورّدون جزء من المخاطر. كل تطبيق ومنصة وتكامل يلامس بيانات المرضى يجب أن يلتزم بالمعيار نفسه الذي يلتزم به المستشفى.

لماذا تُستهدف البيانات الصحية؟

تجمع السجلات الصحية بين معلومات الهوية والمالية والسريرية التي لا يمكن استبدالها مثل كلمة المرور. كما لا تحتمل الأنظمة السريرية التوقف؛ فحين تصيب الهجمات المستشفيات قد ينقطع الوصول إلى السجلات والأشعة ونتائج المختبر والتواصل بين الأقسام، فيتحول الحادث الأمني إلى حادث يمس سلامة المرضى.

ما الأنظمة السعودية التي تنطبق على البيانات الصحية؟

هذا القسم تلخيص لإرشادات عامة وليس استشارة قانونية؛ ينبغي التحقق من التصنيف والالتزامات مع الهيئة الوطنية للأمن السيبراني وسدايا ومستشار مختص.

ماذا يعني التكامل في القطاع الصحي السعودي؟

التكامل هو قدرة الأنظمة المختلفة على تبادل بيانات المريض بصيغة يفهمها كل نظام ويستخدمها. والعمود الفقري لذلك في المملكة هو نفيس، المنصة الوطنية لتبادل المعلومات الصحية والتأمينية، التي بناها مجلس الضمان الصحي والمركز الوطني للمعلومات الصحية.

أطلق وزير الصحة نفيس رسمياً خلال ملتقى الصحة العالمي في أكتوبر 2023، بوصفها منصة لمشاركة المعلومات بين مقدمي الخدمة وإنشاء ملف صحي موحد وشامل لكل مستفيد. وتغطي خدماتها التأمينية التحقق من الأهلية والموافقات المسبقة والمطالبات والتسوية والتحقق من الوصفات والإحالات.

وتمنحها ثلاث سمات أهمية استراتيجية:

1. معيار موحد. تعتمد نفيس معيار HL7 FHIR العالمي لتبادل البيانات الصحية عبر واجهات برمجية حديثة، وتنص الأنظمة السعودية على التبادل القائم على المعايير وتسمّي FHIR تحديداً.
2. سجل صحي موحد. تبني البيانات المتبادلة عبر نفيس ملفاً صحياً واحداً يرافق المريض بين مقدمي الخدمة.
3. أساس للرعاية القائمة على القيمة. لأن الدافعين والجهات التنظيمية يرون الخدمات المقدمة، يصبح ربط الدفع بالجودة والتكلفة ممكناً، وهو الاتجاه الذي تسلكه المنظومة السعودية مع التجمعات الصحية والدفع حسب الفرد.

أين يواجه مقدمو الخدمة صعوبة؟ يشير مسح حالة FHIR لعام 2025 في السعودية إلى نقص المعرفة بمعيار FHIR لدى الجهات، بينما ما زالت أدلة التطبيق الوطنية ونموذج البيانات الوطني قيد التطوير. وعملياً، تعمل مستشفيات وعيادات كثيرة بأنظمة قديمة تحتاج إلى طبقات تكامل، وكثيراً ما ترجع حالات رفض المطالبات إلى بيانات لم تُربط بشكل صحيح.

الدلالة: يجب تصميم التكامل والأمن معاً. فكل اتصال جديد، سواء بنفيس أو بشركة تأمين أو مختبر أو تطبيق للمرضى، هو في آن واحد أصل سريري ونقطة دخول جديدة للمهاجمين.

خطة من ست خطوات لمقدمي الرعاية وفرق التقنية الصحية

1. حدّد تصنيفك. هل تخضع للضوابط الأساسية بوصفك بنية تحتية حساسة، أم لضوابط القطاع الخاص غير الحساس، وما فئة جهتك؟ كل ما يلي يبنى على ذلك.
2. ارسم خريطة بيانات المرضى. احصر كل نظام ومورّد وتكامل يخزن بيانات المرضى أو ينقلها، بما في ذلك التطبيقات والمختبرات وشركات التأمين واتصالات نفيس.
3. اعتبر المورّدين جزءاً من محيطك الأمني. مع كون اختراق الطرف الثالث أكثر نقاط الدخول شيوعاً في المنطقة، اشترط على كل مورّد إثبات الالتزام بضوابط الهيئة ونظام حماية البيانات والاستضافة المحلية عند الحاجة والإبلاغ عن الاختراقات.
4. ابنِ على FHIR منذ البداية. اختر أنظمة تتبادل البيانات عبر واجهات FHIR، واربط بياناتك بمتطلبات نفيس، واختبر مسارات المطالبات والأهلية قبل التشغيل لتقليل الرفض.
5. درّب الأفراد باستمرار. نفّذ تدريباً حسب الدور للأطباء والاستقبال وتقنية المعلومات، وحاكِ هجمات التصيّد، وطبّق التحقق متعدد العوامل.
6. خطط لليوم الصعب. احتفظ بنسخ احتياطية مختبرة ومنفصلة، وإجراءات للعمل السريري عند التوقف، وخطة استجابة للحوادث تشمل الإبلاغ وفق نظام حماية البيانات ومتطلبات الهيئة.

كيف تساعد CareSync

CareSync منظومة صحية رقمية بعلامة بيضاء طُوّرت في الرياض وصُممت وفق قواعد البيانات السعودية منذ اليوم الأول. وتعمل حلولها الثلاثة على منصة واحدة: CareSync Network لمجموعات المستشفيات متعددة الفروع، وCareSync Clinic للعيادات المفردة ومتعددة الفروع، وCareSync PSP Connect لبرامج دعم المرضى لدى شركات الأدوية، وكلها تحمل هوية مقدم الرعاية مع إبقاء بيانات المرضى تحت الموافقة وضمن متطلبات الحوكمة في المملكة.

الأسئلة الشائعة

ما ضوابط الأمن السيبراني التي تنطبق على المستشفيات السعودية؟ تخضع المستشفيات المصنفة بنية تحتية حساسة للضوابط الأساسية للأمن السيبراني، بينما تخضع الجهات الخاصة غير الحساسة لضوابط القطاع الخاص المعتمدة في ديسمبر 2025، وتلتزم جميعها بنظام حماية البيانات الشخصية.

هل تنطبق ضوابط الهيئة الجديدة على العيادات والتطبيقات الصحية؟ نعم إذا كانت جهات خاصة غير مصنفة بنية تحتية حساسة؛ إذ تحدد الضوابط 65 ضابطاً رئيسياً إلزامية بالكامل للجهات الكبيرة.

كم تبلغ كلفة اختراق البيانات الصحية؟ يقدّر تقرير IBM لعام 2025 المتوسط العالمي في القطاع الصحي بـ7.42 مليون دولار، ومتوسط الاختراق في الشرق الأوسط بـ27 مليون ريال.

ما منصة نفيس؟ المنصة الوطنية لتبادل المعلومات الصحية والتأمينية، تربط مقدمي الخدمة وشركات التأمين والجهات التنظيمية، وتدعم الأهلية والموافقات والمطالبات والوصفات والملف الصحي الموحد.

ما المعيار الذي تستخدمه نفيس؟ معيار HL7 FHIR الدولي لتبادل البيانات الصحية عبر واجهات برمجية، وتنص الأنظمة السعودية على استخدامه.

هل تُعامل البيانات الصحية بشكل مختلف في نظام حماية البيانات؟ نعم، فهي بيانات حساسة تتطلب اشتراطات أشد في الموافقة والمعالجة والأمن والنقل خارج المملكة.

كيف تربط العيادات أنظمتها بمنصة نفيس؟ عادة عبر نظام إدارة المنشأة أو النظام الصحي الذي يتبادل البيانات مع نفيس بمعيار HL7 FHIR في الأهلية والموافقات المسبقة والمطالبات. ويُنصح بربط البيانات بمتطلبات نفيس واختبار المعاملات قبل التشغيل لتقليل رفض المطالبات.

هل يمكن استضافة بيانات المرضى خارج السعودية؟ يقيّد نظام حماية البيانات الشخصية نقل البيانات خارج المملكة بحالات محددة وضمانات، ويشترط كثير من المشترين في القطاع الصحي السعودي الاستضافة المحلية في عقودهم. ويُستحسن تأكيد الموقف لخدمتكم مع مستشار مختص.

ماذا يسأل مقدم الرعاية مورّد الحلول الصحية الرقمية عن الأمن السيبراني؟ أي ضوابط الهيئة يتبع، وأين تُستضاف البيانات، وكيف تُدار الموافقة والصلاحيات، وكيف يُبلَّغ عن الاختراقات، مع طلب أدلة مثل تقارير التدقيق ونتائج اختبارات الاختراق.

الثقة هي البنية التحتية

يبدي المرضى السعوديون استعداداً لمشاركة بياناتهم الصحية متى حسّنت رعايتهم، وهذا الاستعداد قائم على الثقة. والثقة تتطلب أمرين معاً: بيانات تصل إلى الطبيب المناسب في الوقت المناسب، وبيانات لا تصل أبداً إلى الأيدي الخطأ. ومع امتداد ضوابط الهيئة إلى القطاع الخاص، وتطبيق نظام حماية البيانات بالكامل، واعتماد نفيس معياراً للتبادل، فإن 2026 هو العام الذي يصبح فيه الأمران غير قابلين للتفاوض.

هل أنتم مستعدون لإطلاق تفاعل مع المرضى مصمم وفق قواعد البيانات السعودية؟ احجزوا عرضاً توضيحياً عبر care-sync.co.

عن CareSync

أعدّ هذا المقال فريق CareSync، مستنداً إلى خبرة في قطاع الأدوية والشؤون الطبية والوصول إلى السوق والصحة الرقمية في المملكة العربية السعودية. وCareSync منظومة صحية رقمية بعلامة بيضاء طُوّرت في الرياض، بثلاثة حلول على منصة واحدة: CareSync Network لمجموعات المستشفيات، وCareSync Clinic للعيادات، وCareSync PSP Connect لبرامج دعم المرضى لدى شركات الأدوية.

المراجع

1. CSO Online. What is the cost of a data breach? ملخص تقرير IBM لكلفة اختراق البيانات 2025.
2. IBM الشرق الأوسط وأفريقيا. تراجع كلفة اختراق البيانات في الشرق الأوسط 18% لتبلغ 27 مليون ريال في 2025، 30 يوليو 2025.
3. Digital Policy Alert. اعتماد ضوابط الأمن السيبراني لجهات القطاع الخاص غير الحساسة، 28 ديسمبر 2025.
4. Uniqus. The five shifts redefining cybersecurity for Saudi Arabia's private sector.
5. SecurityWall. Healthcare cybersecurity in Saudi Arabia.
6. Clyde & Co. Saudi Arabia's Personal Data Protection Law becomes enforceable، 2024.
7. World Health Expo. Strategies to protect Saudi Arabia healthcare from cyberattacks.
8. Gulf Daily News. NPHIES launched in KSA to share health information، 2023.
9. Insta by Practo. Preparing your clinic for NPHIES integration.
10. Firely وHL7 International. State of FHIR 2025: Saudi Arabia.