متطلبات امتثال التشفير: GDPR وHIPAA والمزيد

امتثال التشفير لنقل الملفات يتمحور حول خمس لوائح وحقيقتين. المادة 32 من GDPR تفرض التشفير "عند الاقتضاء" للبيانات الشخصية. HIPAA 164.312(a)(2)(iv) و(e)(2)(ii) يتناولان التحكم في الوصول وأمان النقل. المتطلب 4 من PCI DSS 4.0 يُلزم بتشفير قوي أثناء النقل. المعيار 6.7 من SOC 2 Common Criteria يُغطي نقل البيانات السرية. CCPA (بتعديلات CPRA) تُنشئ ملاذاً آمناً للبيانات المخترقة المشفرة. الحقيقتان: TLS أثناء النقل هو أدنى حدٍّ لا سقف؛ والتشفير في حالة الراحة على الخادم لا يُفيد إذا كان المزوّد يمتلك المفاتيح.

المادة 32 من GDPR ومعيار "الملاءمة"

تُدرج المادة 32(1)(a) صراحةً التشفير كإجراء تقني لضمان "مستوى من الأمان يناسب المخاطر." يوضّح الاعتبار 83 أن الملاءمة تأخذ بعين الاعتبار حالة الفن والتكلفة وطبيعة المعالجة والمخاطر. في ممارسة 2026، الملاءمة تعني AES-256-GCM أو ChaCha20-Poly1305 أثناء النقل، بالإضافة إلى التشفير على جانب العميل عندما تتضمن البيانات فئات خاصة بموجب المادة 9 (الصحة، والبيومترية، والآراء السياسية). تعتبر إرشادات EDPB 2024 بشأن نقل البيانات إلى دول ثالثة التشفير الكامل من طرف إلى طرف إجراءً تكميلياً يمكنه إضفاء الشرعية على النقل إلى دول غير مناسبة بعد Schrems II.

قاعدة أمان HIPAA ومعيار "القابل للتطبيق"

متطلبات تشفير HIPAA "قابلة للتطبيق" تقنياً لا "مطلوبة"، مما يُضلل الناس. 45 CFR 164.312(a)(2)(iv) و164.312(e)(2)(ii) يقولان يجب عليك تطبيق التشفير أو توثيق سبب عدم معقوليته. إرشادات مكتب الحقوق المدنية لعام 2024 صريحة: "القابل للتطبيق لا يعني اختيارياً." المعيار الفعلي هو التشفير المُتحقق من صحته بـ NIST FIPS 140-3، ما يعني عملياً AES-256 للراحة وTLS 1.2+ للنقل. يجب على خدمة النقل التي تتعامل مع PHI (دراسات DICOM، ورسائل HL7، ووثائق CCDA) تقديم BAA وإثبات ضوابط الوصول وفق 164.308(a)(4).

متطلب PCI DSS 4.0 بشأن القوة التشفيرية

المتطلب 4.2.1 (المُعمَّق في 31 مارس 2025) يُلزم بتشفير قوي أثناء النقل عبر الشبكات المفتوحة. القوي يعني TLS 1.2 كحدٍّ أدنى، و1.3 موصى به، مع مجموعات شفرات معتمدة فقط (لا RC4، ولا 3DES، ولا درجة التصدير). المتطلب 3.5 يُغطي إدارة المفاتيح: يجب تخزين المفاتيح بشكل منفصل عن البيانات المشفرة، وتدويرها وفق سياسة محددة، وإتلافها عند عدم الحاجة إليها بعد الآن. المتطلب 12.3.3 يتطلب جرداً موثقاً من مجموعات الشفرات وبروتوكولات التشفير — لذا إذا كان مزوّد نقل ملفاتك يستخدم TLS 1.3 مع X25519-MLKEM الهجيني، هذا ينتمي إلى توثيق الامتثال.

SOC 2 Common Criteria لنقل البيانات

يشترط CC6.7 "تقييد الكيان لنقل المعلومات وتحريكها وإزالتها إلى المستخدمين الداخليين والخارجيين المخوّلين". في ممارسة التدقيق، يطلب المدققون أدلة على: تكوين TLS (شغّل Qualys SSL Labs، توقّع A+)، وتسجيل الوصول باحتجاز 12 شهراً، وسياسة إدارة مفاتيح التشفير، وكتيّب إجراءات الاستجابة للحوادث. يُغطي CC7.2 الكشف؛ مسار تدقيق النقل يُرضي هذا. تقارير النوع II تتطلب ست أشهر من المراقبة، لذا أداة نقل ملفات تعتمدها في منتصف التدقيق قد لا تُحسَب حتى الدورة التالية.

CCPA وCPRA والملاذ الآمن للتشفير

المادة 1798.150(a) من القانون المدني لكاليفورنيا تُنشئ حق التقاضي الخاص لخروقات "المعلومات الشخصية غير المشفرة وغير المُنقحة". بمعنى آخر: إذا كانت البيانات المخترقة مشفرة بمفاتيح لم يحصل عليها المهاجم، فأنت محمي من الأضرار القانونية بقيمة 100-750 دولار لكل مستهلك لكل حادثة. هذا جعل التشفير القوي جذاباً مالياً للشركات التي تخدم كاليفورنيا. إجراءات المدعي العام 2024 ضد Sephora وDoorDash استشهدت بإخفاق التشفير في الراحة؛ لم يكن أي منهما يدين بأضرار قانونية لو كانت قواعد بياناتهما مشفرة بمفاتيح محمية بـ HSM.

إشعار الخرق على المستوى الولائي ومعنى "المشفَّر"

جميع الولايات الأمريكية الخمسين لديها الآن قوانين إشعار الخرق، ومعظمها يتضمن إعفاءً للتشفير — لكن التعريف يتفاوت. يشترط قانون New York Shield تشفيراً "يجعل البيانات غير قابلة للقراءة أو الاستخدام". تشترط Illinois PIPA (815 ILCS 530) تشفيراً "يجعل المعلومات غير قابلة للقراءة أو غير قابلة للتفسير". تحدد Massachusetts 201 CMR 17.00 "تحويل البيانات باستخدام عملية خوارزمية". القاسم المشترك: AES-128 أو أقوى، ومفاتيح غير متاحة للمهاجم. خدمة نقل الملفات التي تحتفظ بالنص المشفر والمفاتيح على خادم واحد لا تستوفي الشرط — المهاجم الذي يخترق الخادم يحصل على كليهما.

متطلبات النقل عبر الحدود بعد Schrems II

نقل الملفات من الاتحاد الأوروبي إلى الولايات المتحدة أو الهند أو أي مكان بدون قرار ملاءمة يتطلب إجراءات تكميلية وفق حكم CJEU في Schrems II (C-311/18). التشفير الكامل من طرف إلى طرف حيث لا تستطيع خدمة النقل الوصول إلى النص الصريح هو الإجراء التكميلي ذهبي المستوى، وفق توصيات EDPB 01/2020. يُغيّر هذا التحليل القانوني: مع التشفير على جانب العميل، تحمل حزمة S3 الأمريكية الخاصة بك نصاً مشفراً لا يستطيع المزوّد قراءته، لذا طلبات الإفصاح بموجب FISA 702 لا تُسفر عن شيء مفيد. وثّق هذا في تقييم أثر النقل (TIA) وأشر إليه في ضمانات المادة 46.

إضافات خاصة بالصناعات تستحق المعرفة

تشترط قاعدة FINRA 4511 على الوسطاء الماليين الاحتفاظ بالسجلات الإلكترونية بتنسيق غير قابل للكتابة وغير قابل للمحو لمدة ست سنوات — تخزين WORM مع التشفير يُرضي هذا. FERPA (20 USC 1232g) يُغطي سجلات الطلاب؛ لا يوجد حكم صريح للتشفير، لكن إرشادات وزارة التعليم 2023 تعتبره مطلوباً لـ "معلومات الدليل التي تُحتجز سرياً". ITAR وEAR (ضوابط التصدير) تحظر نقل البيانات التقنية المتعلقة بالأسلحة دون وصول لأشخاص أمريكيين فقط — نقل الملفات المشفرة مع المستقبلين الموثق جنسيتهم هو النمط المتوافق. نموذج تشفير HexaTransfer يُرضي المتطلبات التقنية لمعظم هذه، وإن كنت لا تزال بحاجة إلى ضوابط إجرائية (BAAs ومراجعات الوصول والسياسات الموثقة).

التوثيق كطريق إلى الامتثال القابل للدفاع

المدققون لا يُعطونك نقاطاً على الأمان المثالي؛ يُعطونك نقاطاً على الأمان المعقول الموثق. احتفظ بجرد تشفيري (الخوارزميات وأحجام المفاتيح وجداول التدوير)، ومخطط تدفق بيانات يُظهر أين تعبر النقل حدود الثقة، وتقييم مزوّد يُغطي شهادات مزوّد نقل ملفاتك (ISO 27001، وSOC 2، وتوفر HIPAA BAA). راجع سنوياً. عندما يحدث خرق — وسيحدث — هذا التوثيق هو ما يُميّز غرامة 50,000 دولار عن غرامة 5,000,000 دولار.

جرّبها على hexatransfer.com — مجاني، بدون حساب، حتى 10 جيجابايت.