دليل الأمن السيبراني والامتثال لقانون CNDP رقم 09-08 للمقاولات بالمغرب
مصفوفة المعايير والمؤشرات
المتطلبات الهندسية الأساسية
- ›تسجيل المكالمات الهاتفية وتحويلها إلى نصوص بالذكاء الاصطناعي يعتبر قانونياً معالجة لمعطيات شخصية بموجب القانون رقم 09-08 (الظهير الشريف 1-09-15).
- ›نقل التسجيلات الصوتية أو بيانات المتصلين إلى خوادم سحابية أجنبية دون ترخيص مسبق من CNDP يعرض لعقوبات جنائية وغرامات بموجب المادة 60.
- ›يلزم تشفير قواعد البيانات بتقنية AES-256-GCM بمفاتيح مستقلة مع حتمية استضافة الخوادم داخل التراب الوطني المغربي (مركز بيانات Tier-III).
- ›تقديم تصريح مسبق لدى اللجنة الوطنية CNDP وإشعار المتصل صوتياً بتسجيل المكالمة شرطان إلزاميان قبل تفعيل أي نظام ذكي.
1. ما يفرضه القانون رقم 09-08 على أنظمة المكالمات والذكاء الاصطناعي الصوتي
وفقاً لمقتضيات القانون رقم 09-08 (الصادر بالظهير الشريف رقم 1-09-15 بتاريخ 22 صفر 1430)، فإن أي نظام هاتفي ذكي يجمع أسماء المواطنين أو أرقام هواتفهم أو عناوينهم أو طلباتهم التجارية يعتبر معالجة آلية لمعطيات ذات طابع شخصي. وتفرض المادتان 23 و24 تطبيق تدابير تقنية وأمنية صارمة لضمان سرية البيانات. كما تنص المواد من 53 إلى 65 على غرامات تصل إلى 300,000 درهم وعقوبات سالبة للحرية تتراوح بين 3 أشهر وسنتين على المسيرين في حال معالجة البيانات دون احترام الضوابط أو تحويلها خارج المغرب دون ترخيص مسبق من اللجنة الوطنية (CNDP).
2. المعمارية الأمنية للتشفير وإدارة المفاتيح والاستضافة السيادية
امتثالاً لتوجيهات المديرية العامة لأمن نظم المعلومات (DGSSI) ومتطلبات CNDP، يجب تشفير جميع الملفات الصوتية والنصوص المستخرجة وسجلات العملاء بتقنية AES-256-GCM. كما يجب إلزام خطوط SIP ببروتوكول TLS 1.3 مع تبادل مفاتيح Curve25519، وتأمين تدفق الصوت ببروتوكول SRTP المشفر، مع حظر بروتوكول RTP المفتوح. ويجب حفظ المفاتيح في وحدات تشفير مادية (HSM) أو خزائن سحابية سيادية داخل مراكز بيانات مصنفة Tier-III بالدار البيضاء أو الرباط.
# Production SIP TLS 1.3 & SRTP Cipher Suite Verification (Kamailio / Asterisk)
kamailio -c -f /etc/kamailio/tls.cfg
# Ensure strict TLS 1.3 and forward-secret cipher suites
tls_method = TLSv1_3
cipher_list = "TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256"
server_name = "sip.vext.ma"
require_certificate = yes
verify_certificate = yes
private_key = /etc/ssl/sovereign/sip_private.key
certificate = /etc/ssl/sovereign/sip_cert.crt
ca_list = /etc/ssl/sovereign/ca_root.crt3. الإشعار الصوتي الإلزامي وحق المتصل في الاعتراض ومحو التسجيل
تلزم المادة 14 من القانون 09-08 بإشعار المعني بالأمر فور بدء المكالمة بـ: (1) هوية المسؤول عن المعالجة، (2) الغرض الدقيق من المكالمة، (3) تسجيل المكالمة وتحليلها بالذكاء الاصطناعي، و (4) كيفية ممارسة حقوقه في الوصول والتصحيح والاعتراض. تطبق فيكست هذا الالتزام تلقائياً ببث تنبيه صوتي قانوني بلهجة أو لغة المتصل فور فتح الخط؛ وفي حال ضغط المتصل على زر "9" أو عبر عن رفضه، يتم إيقاف تسجيل الصوت نهائياً وتقتصر المعالجة على الذاكرة المؤقتة دون تخزين أي ملف صوتي.
| المتطلب القانوني 09-08 | التطبيق التقني في النظام | طريقة التحقق والتدقيق |
|---|---|---|
| المادة 14: الإشعار المسبق | بث التنبيه القانوني صوتياً قبل بدء طلب أي معطيات | تدقيق آلي للتسجيلات الصوتية |
| المادة 23: سرية المعطيات | تشفير AES-256-GCM للقواعد و TLS 1.3 لبروتوكول SIP | اختبار الاختراق وفحص شهادات SSL |
| المادة 43: التصريح المسبق | إيداع الملف القانوني رسمياً لدى أمانة CNDP | الحصول على وصل إيداع CNDP |
| المادة 53: حق الاعتراض | الضغط على الرقم 9 أو التعبير اللفظي يمنع التخزين على القرص | اختبار ميداني بمكالمات تجريبية |
4. سجلات التدقيق غير القابلة للتعديل والربط المشفر بتقنية SHA-256
في حال خضوع المقاولة لتفتيش من لجنة CNDP أو نزاع قضائي، يقع عبء الإثبات على الشركة لإثبات نزاهة وسرية معالجة المعطيات. تطبق أنظمة فيكست الربط المشفر التتابعي (SHA-256) لجميع سجلات النظام؛ حيث يتضمن كل سجل جديد البصمة الرقمية للسجل الذي قبله، مما يجعل أي تعديل بأثر رجعي مستحيلاً تقنياً. كما تتولى برمجيات آلية إتلاف البيانات الصوتية نهائياً فور انتهاء المدة القانونية المرخص بها (30 إلى 90 يوماً).
الأسئلة التقنية الشائعة
هل تحتاج لاستشارة هندسية حول هذه المواصفات؟
تحدث مباشرة مع مهندسي النظم لدينا بالدار البيضاء.