الاستضافة الداخلية أم السحابية: كيف تختار لنظام إدارة المشاريع؟

يصل قرار الاستضافة عادةً إلى مدير تقنية المعلومات وفريق أمن المعلومات بعد أن يكون مكتب إدارة المشاريع قد اختار النظام الذي يريده وظيفيًا. هنا يظهر السؤال: هل تُشغَّل المنصة في مركز بيانات الجهة، أم تُستضاف سحابيًا؟ وإذا تأخر هذا القرار إلى ما بعد استلام العروض، فقد تُقارن المشتريات عروضًا مبنية على نموذجين مختلفين لا يمكن وضعهما في جدول واحد.

الحسم يبدأ بما تفرضه المرجعيات الوطنية وتصنيف البيانات، ثم بما يرجّح بين خيارين مسموحين، ثم بتوزيع المسؤوليات بين الجهة ومقدم الخدمة؛ والمثال الافتراضي في آخر الدليل يطبّق هذا الترتيب خطوة خطوة.

ما الفرق العملي بين الاستضافة الداخلية والسحابية لنظام إدارة المشاريع؟

الاستضافة الداخلية (On-Premise) تعني أن يعمل نظام إدارة المشاريع على خوادم في مراكز بيانات الجهة أو مراكز تديرها لحسابها، فتبقى البيانات داخل محيطها التقني، وتتولى الجهة البنية التحتية وتشغيلها. الاستضافة السحابية تعني أن يعمل النظام على بنية يقدمها مقدم خدمة حوسبة سحابية، ويصل إليه المستخدمون عبر الشبكة، ويُتفق على موقع تخزين البيانات ومسؤوليات التشغيل في العقد.

بين الطرفين صيغ وسيطة، مثل السحابة الخاصة (Private Cloud) المخصصة لجهة واحدة، والسحابة الحكومية التي تخدم الجهات الحكومية. لذلك فالسؤال الدقيق ليس «داخل أم خارج» فقط، بل: أين تُخزن البيانات ونسخها الاحتياطية، ومن يشغّل البيئة، ومن يملك قرار التحديث والاستعادة.

منصة إدارة المشاريع والبرامج والمحافظ تدعم الاستضافة الداخلية في مراكز بيانات الجهة والاستضافة السحابية، ويُختار النموذج حسب متطلبات الجهة التنظيمية والأمنية، ويُذكر موقع البيانات صراحة في العرض الفني والعقد، كما توضح صفحة الاستضافة والأمن وإدارة البيانات.

ما الذي تقوله المرجعيات الوطنية، ولمن تنطبق؟

قبل أي مقارنة فنية، حدّد المرجعيات الملزمة لجهتك. هذه المرجعيات معايير يتحقق منها المشتري بنفسه من مصدرها الرسمي ونسختها النافذة؛ ولا يكفي فيها قول المورد.

سياسة الحوسبة السحابية أولًا

تنص سياسة الحوسبة السحابية أولًا للمملكة العربية السعودية الصادرة عن وزارة الاتصالات وتقنية المعلومات (إصدار أكتوبر 2020) على ما يلي، وفق نصها المنشور:

• النطاق: تنطبق على الجهات الحكومية، وتستثني مؤسسة النقد العربي السعودي (البنك المركزي السعودي حاليًا) والجهات المسؤولة أساسًا عن الأمن والدفاع الوطني، مثل وزارة الدفاع ووزارة الداخلية. وتوصي بشدة الشركات المملوكة للحكومة كليًا أو جزئيًا والقطاع الخاص بالاستفادة منها ووضع سياسات داخلية مماثلة، دون إلزام.
• الاستثمار الجديد: على الجهة المشمولة أن تنظر في الخيارات السحابية أولًا عند أي استثمار جديد في تقنية المعلومات، ويشمل ذلك شراء الأجهزة والبرمجيات وتجديد تراخيصها.
• البيانات السرية والسرية للغاية: تُستضاف في السحابة الحكومية، فإن لم تلبِّ المتطلبات جاز طلب الموافقة على استضافتها داخليًا، ويفضل في سحابة خاصة.
• البيانات المقيدة والمتاحة: تبدأ الجهة بمقدمي خدمات السحابة الحكومية التجارية المرخصين، فإن لم يلبّوا المتطلبات فالسحابة الحكومية. والبيانات المصنفة «مقيدة» تحتاج موافقة مكتب إدارة البيانات الوطنية، أما «المتاحة» فتستفيد من السحابة الحكومية التجارية مباشرة متى لبّت المتطلبات الأمنية والتجارية والتقنية.
• الاستضافة الداخلية: لا يُلجأ إليها إلا إذا لم تلبِّ الخيارات السحابية المتطلبات، وبعد الحصول على الموافقات التي تحددها السياسة. ولا تسمح السياسة للجهات المشمولة بشراء أو بناء بنية تحتية جديدة لمراكز البيانات إلا في حالات الاستثناء التي توضحها.
• ترتيب نماذج الخدمة: البرمجيات كخدمة (SaaS) أولًا، ثم المنصة كخدمة (PaaS)، ثم البنية التحتية كخدمة (IaaS).

معنى ذلك لجهة حكومية مدنية: الاستضافة الداخلية ليست خيارًا حرًا يُقرر بالتفضيل، بل استثناء يحتاج مبررًا موثقًا وموافقة. أما الشركة الخاصة فقرارها داخلي، وتصبح السياسة إطارًا استرشاديًا لها.

ضوابط الهيئة الوطنية للأمن السيبراني والبيانات الشخصية

تحدد ضوابط الأمن السيبراني للحوسبة السحابية (CCC-2:2024) متطلبات الأمن السيبراني من منظور مقدمي الخدمات والمشتركين، وهي امتداد للضوابط الأساسية للأمن السيبراني (ECC-2:2024). تحقق من نطاق انطباق كل وثيقة على جهتك من نصها. وإذا تضمّن نظام إدارة المشاريع بيانات شخصية، مثل أسماء الموظفين وبطاقات الوقت، وكان النموذج المقترح ينقلها أو يعالجها خارج المملكة، فارجع إلى نظام حماية البيانات الشخصية ولائحة نقل البيانات الشخصية إلى خارج المملكة.

مصفوفة القرار: ثمانية معايير تحسم الاختيار

رتّب المعايير التالية بحسب قوتها: الأول والثاني يحسمان القرار غالبًا متى انطبقا، والبقية ترجّح بين خيارين مسموحين. أمام كل معيار ما يرجّح كل نموذج، ومن يملك الإجابة داخل الجهة.

طريقة الاستخدام: إذا حسم المعيار الأول أو الثاني الأمر، فتوقف ودوّن المرجع. وإن لم يحسماه، فاكتب أمام المعايير من الثالث إلى الثامن «داخلي» أو «سحابي» أو «محايد» مع جملة سبب. النتيجة ترجيح مسبب، لا مجموع نقاط. والمعيار الأول بالذات يستحق عملًا مستقلًا قبل المصفوفة، فصّلناه في دليل تصنيف البيانات قبل استضافة نظام إدارة المشاريع.

من يتحمل ماذا في كل نموذج؟

الخطأ الأكثر كلفة أن تختار الجهة نموذجًا ثم تكتشف بعد التعاقد أن مهمة ما لم يكتبها أحد على أحد. الجدول التالي يوضح التقسيم المعتاد بين الجهة ومقدم الخدمة، وهو نقطة بداية للنقاش لا بديل عما يُكتب في العرض الفني.

لاحظ أن الصلاحيات تبقى مسؤولية الجهة في النموذجين: الأدوار ومصفوفة الصلاحيات ومستويات الاعتماد تُضبط داخل المنصة ويديرها مسؤول المنصة. أما إذا رجحت الاستضافة الداخلية، فقائمة ما تجهزه الجهة قبل التهيئة في دليل تجهيز الاستضافة الداخلية لنظام إدارة المشاريع، ومقارنة البنود المالية للنموذجين في دليل تكلفة الاستضافة الداخلية مقابل السحابية.

مثال توضيحي: جامعة حكومية تطبّق المصفوفة

مثال توضيحي: جامعة حكومية في منطقة القصيم، لديها وكالة للمشاريع تتابع 34 مشروعًا بين مبانٍ أكاديمية ومشاريع تقنية، ويستخدم النظام نحو 90 مستخدمًا، بينهم مهندسو إشراف في مواقع إنشاء خارج الحرم. الافتراضات: الجامعة مشمولة بسياسة الحوسبة السحابية بوصفها جهة حكومية مدنية، ونظاما الهوية والمالية فيها داخليان، وليس لديها سعة خوادم شاغرة.

1. تصنيف البيانات: صنّف مكتب البيانات في الجامعة معظم بيانات المشاريع مقيدة، ولا شيء منها سري. المعيار لا يفرض الداخلية، لكنه يفرض الحصول على موافقة مكتب إدارة البيانات الوطنية قبل استضافة البيانات المقيدة في سحابة حكومية تجارية، وفق نص السياسة والإجراء النافذ.
2. السياسة: الجامعة مشمولة، فالسحابي هو المسار الأول، والداخلي يحتاج مبررًا وموافقة. يرجّح السحابي.
3. البيانات الشخصية: بطاقات وقت المهندسين بيانات شخصية؛ تشترط الجامعة موقع تخزين داخل المملكة مكتوبًا. محايد بشرط.
4. القدرة التشغيلية: فريق البنية مشغول بأنظمة القبول والتسجيل. يرجّح السحابي.
5. زمن الجاهزية: لا سعة شاغرة، وشراء بنية تحتية جديدة لمركز البيانات يقيده نص السياسة إلا بالاستثناء. يرجّح السحابي.
6. التكاملات: الدخول الموحد مطلوب في الإطلاق الأول، والربط المالي مؤجل. يحتاج دراسة طريقة ربط آمنة مع نظام الهوية الداخلي. محايد.
7. مكان المستخدمين: مهندسو الإشراف في المواقع. يرجّح السحابي.
8. النسخ والاستمرارية: لا موقع بديل للجامعة. يرجّح السحابي بشرط مستويات مكتوبة.

القراءة: ستة معايير ترجّح السحابي أو لا تعارضه، ومعياران محايدان بشرط. القرار المسبب: استضافة سحابية بموقع تخزين داخل المملكة يُذكر في العرض والعقد، ودراسة الربط بنظام الهوية ضمن نطاق التكامل، والحصول على موافقة استضافة البيانات المقيدة قبل الترسية. لو كانت الجامعة شركة خاصة بالحقائق نفسها لبقي الترجيح سحابيًا، لكن بقرار داخلي لا بمرجعية ملزمة.

أخطاء تعيد فتح قرار الاستضافة بعد التعاقد

• طلب العروض قبل حسم النموذج: تصل عروض على نموذجين مختلفين فلا تُقارن. حدّد النموذج في الطلب، أو اطلب تسعير النموذجين بندين منفصلين.
• الخلط بين «داخل المملكة» و«داخل الجهة»: شرط موقع البيانات داخل المملكة لا يعني بالضرورة استضافة في مركز بيانات الجهة. اكتب الشرط الذي تحتاجه فعلًا.
• افتراض أن الداخلية أكثر أمنًا تلقائيًا: الأمن يأتي من الضوابط المطبقة والتشغيل، لا من مكان الخادم. بيئة داخلية بلا نسخ مختبرة أو مراقبة أضعف من خيار سحابي يلتزم بها كتابيًا.
• نسيان بيئة الاختبار: التحديثات والتغييرات تحتاج بيئة اختبار منفصلة في النموذجين؛ اسأل من يوفرها ومن يزامنها.
• إغفال التكاملات عند القرار: نظام هوية لا يُتاح من الخارج قد يغيّر الترجيح أو يضيف عمل ربط. ادرسها قبل القرار لا بعده.
• إغفال نهاية العقد: آلية تسليم البيانات ومصير النسخ بعد التسليم تُكتب في العقد منذ البداية.

كيف توثق القرار، وما الذي تطلبه مكتوبًا من المورد؟

قرار الاستضافة يحتاج محضرًا قصيرًا يوقعه أصحاب الإجابات في المصفوفة: إدارة البيانات، وأمن المعلومات، والبنية التحتية، ومكتب إدارة المشاريع. يكفي أن يتضمن المحضر المعايير الثمانية، والترجيح أمام كل منها، والمرجع النظامي المعتمد ونسخته، والشروط المرافقة للقرار.

ثم يتحول المحضر إلى أسئلة محددة في طلب العرض. عند طلب العرض الفني والمالي للمنصة، أرسل مع المعلومات الأساسية المذكورة في صفحة الأسعار وطلب العرض ما يلي:

1. نموذج الاستضافة المطلوب، أو طلب تسعير النموذجين بندين منفصلين.
2. اشتراط ذكر موقع تخزين البيانات ونسخها الاحتياطية صراحة في العرض والعقد.
3. جدول مسؤوليات تشغيلية لكل طرف على غرار الجدول السابق.
4. سياسة أمن المعلومات أو استبيان الأمن المعتمد لدى الجهة، ليُجاب عنه بندًا بندًا.
5. الأنظمة المرشحة للتكامل وأين تُستضاف، لتُدرس طريقة الربط في ضوء نموذج الاستضافة.
6. آلية تسليم البيانات عند انتهاء التعاقد ومصير النسخ بعد التسليم.

وإذا كنت تكتب كراسة شروط كاملة، فصياغة بنود الأمن والاستضافة بحيث تُلزم المورد بإجابات قابلة للتحقق موضوع دليل متطلبات الأمن والاستضافة في كراسة نظام إدارة المشاريع.