أزمة الهوية - الجزء الرابع
أزمة الهوية
الجزء
الرابع
عندما يصبح المواطن
مطالبا بإثبات أنه ليس هو
ربما تكون هذه هي أكثر النقاط إثارة للقلق في أزمة الهوية الرقمية.
في الماضي كان من الممكن أن تقول لموظف: “هذا ليس توقيعي.”
أما اليوم فقد يكون الرد: “لكن النظام يقول إن العملية تمت من حسابك.”
وقد تقول: “أنا لم أطلب هذا القرض.”
فيأتي الرد: “الطلب موثق إلكترونيا.”
وقد تقول: “هذا الخط ليس معي.”
فيكون الرد: “لكنه مسجل باسمك.”
وفي كل حالة نجد أن النظام يمتلك أثرا
رقميا، بينما المواطن يمتلك ذاكرة
وتجربة واقعية تناقض هذا الأثر.
هنا يظهر السؤال الذي لا يمكن أن تتركه عملية الرقمنة بلا إجابة:
من يتحمل عبء إثبات
الحقيقة؟
هناك ميل إلى التعامل مع السجل الإلكتروني كما لو كان شاهدا لا يخطئ.
لكن السجل لا “يشهد” من تلقاء نفسه.
إنه نتيجة لسلسلة من العمليات:
شخص أدخل البيانات.
نظام عالجها.
نظام آخر حفظها.
برنامج ربطها.
خوارزمية طابقتها.
موظف اعتمدها.
وأحيانا نظام آلي اتخذ قرارا بناء عليها.
كل حلقة في هذه السلسلة يمكن أن تكون موضع خطأ.
ولذلك فإن عبارة: “الموجود في النظام هو الحقيقة” ليست قاعدة تقنية.
إنها افتراض.
والسؤال هو: هل نريد فعلا أن نعطي هذا الافتراض قوة مطلقة؟
المشكلة الأكبر:
المواطن لا يرى ما تراه قواعد البيانات
هناك عدم تماثل هائل في المعلومات.
المؤسسة قد تمتلك:
سجل الدخول.
عنوان الشبكة.
وقت العملية.
الجهاز المستخدم.
رقم الهاتف.
سجل المصادقة.
صورة الوجه.
التوقيع الإلكتروني.
نسخة المستند.
التسجيلات.
سجل التعديلات.
وسجلات أخرى لا يعرف المواطن حتى أنها موجودة.
بينما المواطن قد لا يمتلك سوى جملة واحدة: “لم أفعل ذلك.”
كيف يستطيع شخص عادي أن يواجه منظومة تمتلك كل هذه الأدلة؟
إذا كانت المؤسسة تطلب منه إثبات العكس، فقد يصبح الأمر عمليا مستحيلا.
ولهذا فإن الشفافية في سجلات
الهوية ليست ترفا.
المواطن يجب أن يعرف، ضمن حدود مشروعة لحماية الأمن والخصوصية:
ما الذي سجل عنه؟
متى سجل؟
من الجهة التي
سجلته؟
ما مصدره؟
كيف تم استخدامه؟
ومن قام بتعديله؟
أن قوة السجل الإلكتروني لا ينبغي
أن تتحول إلى حصانة ضد الطعن.
حق المواطن في معرفة
“صورته الرقمية”
ربما نحتاج إلى مفهوم جديد في علاقتنا بالنظم الرقمية: “كشف الهوية الرقمية”
كما يستطيع المواطن أن يعرف بياناته الأساسية، ينبغي أن يستطيع - بالقدر
الذي يسمح به القانون والأمن - معرفة الصورة الرقمية التي تحتفظ بها الأنظمة عنه.
ليس فقط: “ما اسمك؟”
بل: “ما الذي تعرفه الأنظمة عنك؟”
و“ما الحسابات والخدمات والالتزامات المرتبطة بهويتك؟”
و“ما أرقام الهواتف المسجلة باسمك؟”
و“ما المعاملات التي أنشئت باستخدام هويتك؟”
و“ما الجهات التي تحتفظ بنسخ من بياناتك؟”
و“هل توجد معاملة مالية أو حكومية أو تعاقدية منسوبة إليك لم تطلبها؟”
هذا ليس مجرد تحسين للخدمة.
إنه جزء من حق الإنسان في السيطرة
على هويته.
المواطن يحتاج إلى “سجل
مرآة”
يمكن تخيل خدمة بسيطة لكنها قوية:
يدخل المواطن إلى منصة رسمية موحدة، فيرى - بحسب ما تسمح به القواعد
القانونية - الآثار
الأساسية المرتبطة بهويته.
أرقام الهاتف المسجلة.
الحسابات أو الخدمات المرتبطة به.
الالتزامات المالية التي تظهر باسمه.
طلبات الخدمات الحكومية.
وسائل المصادقة المسجلة.
الإخطارات المهمة.
والتغييرات التي طرأت على بياناته.
إذا ظهرت معلومة لا يعرفها، يستطيع الاعتراض.
بدلا من أن ينتظر حتى تحدث المشكلة ثم يبدأ البحث:
“من الذي فعل هذا؟”
يصبح قادرا على اكتشاف المشكلة مبكرا.
وهذا يحول المواطن من ضحية سلبية
إلى طرف مشارك في حماية هويته.
لكن هنا تظهر مشكلة
الخصوصية مرة أخرى
قد يبدو الأمر مثاليا.
ثم نسأل: منصة تعرض للمواطن كل بياناته.
لكن ماذا لو تعرضت هذه المنصة نفسها للاختراق؟
نعود إلى النقطة الأولى.
زيادة المعلومات
المتاحة للمواطن قد تعني أيضا زيادة المعلومات التي يجب حمايتها.
ولهذا لا يكفي أن نقول: “سنضع كل شيء في منصة واحدة.”
بل يجب أن يكون التصميم مبنيا على:
* تقليل البيانات.
* الفصل بين الأنظمة.
* تقليل صلاحيات الوصول.
* التشفير.
* التسجيل غير القابل للعبث.
* الفصل بين هوية الشخص وبيانات المعاملات عندما يكون ذلك ممكنا.
* وعدم جعل منصة واحدة المفتاح
الوحيد لكل شيء.
لا يوجد “درع مطلق”
وهنا أعود إلى البيومترية.
يمكن أن نضع أفضل نظام أمني متاح اليوم.
ثم تظهر تقنية جديدة غدا.
يمكن أن نستخدم أحدث هاتف.
ثم يصبح قديما بعد سنوات.
يمكن أن نستخدم خوارزمية قوية.
ثم تظهر طريقة جديدة للهجوم.
يمكن أن نضع نظاما ممتازا لتشفير البيانات.
ثم تتغير قدرات الحوسبة أو تظهر ثغرة أو يحدث خطأ بشري.
إذن لا ينبغي أن تكون فلسفة أمن الهوية:“كيف نجعل البيانات غير قابلة للاختراق؟”
لأن هذا هدف غير واقعي على المدى الطويل.
السؤال الأفضل هو:
“ماذا نفعل عندما تنكشف
البيانات رغم كل الاحتياطات؟”
وهنا نصل إلى مفهوم شديد الأهمية:
قابلية استرداد
الهوية
كلمة المرور لها استعادة Recovery.
الحساب له استعادة Recovery.
البطاقة البنكية لها استبدال Replacement.
لكن ماذا عن الهوية نفسها؟
إذا تسربت صورة الوجه؟
إذا أصبح هناك رقم هاتف غير معروف مرتبط بك؟
إذا أنشئ حساب مالي باسمك؟
إذا نسب إليك توقيع إلكتروني؟
إذا أصبحت بياناتك في قاعدة ما غير صحيحة؟
ما آلية استعادة
السيطرة على الهوية؟
هذه الأسئلة ينبغي أن تكون جزءا من تصميم النظام منذ البداية، لا إجراءات
طوارئ تضاف بعد وقوع الكارثة.
لا يكفي أن تمنع
السرقة؛ يجب أن تستطيع إصلاح آثارها
لنفترض أن النظام الأمني نجح في 99.9% من الحالات.
هذا نجاح كبير تقنيا.
لكن إذا كانت نسبة 0.1% المتبقية تعني أن الضحية قد تحتاج إلى سنوات
لإثبات براءتها، فإن النظام لا يزال يحمل مشكلة جوهرية.
لأننا لا نقيس أمن الهوية فقط بنسبة الاختراقات.
بل يجب أن نقيس أيضا:
زمن اكتشاف الخطأ.
زمن إيقاف الضرر.
زمن تصحيح البيانات.
زمن إزالة الأثر
الخاطئ.
تكلفة التصحيح على
المواطن.
ومن يتحمل هذه
التكلفة.
قد يكون نظامان متساويين في عدد الاختراقات، لكن أحدهما يعيد للمواطن
حقوقه خلال ساعات، بينما يحتاج الآخر إلى شهور.
الأول أكثر عدالة، حتى لو كانت نسبة الاختراق التقنية متساوية.
وهنا نصل إلى مفهوم “الضرر
الثانوي”
افترض أن شخصا انتحل هويتك.
الضرر الأول هو المعاملة التي أجراها.
لكن الضرر قد يستمر بعد اكتشافها.
قد يصبح عليك إثبات:
أن القرض ليس لك.
أن الحساب ليس لك.
أن الرقم ليس لك.
أن التوقيع ليس لك.
أن المعاملة ليست لك.
ثم قد تضطر إلى مراجعة عدة جهات.
وتقديم مستندات.
والانتظار.
والتظلم.
وربما الاستعانة بمحام.
وقد يتأثر ائتمانك أو عملك أو قدرتك على إجراء معاملة أخرى.
وهذا كله ضرر ناتج عن عملية
التصحيح نفسها.
أي أن المواطن لا يعاني فقط من فعل المحتال، بل من تكلفة إقناع النظام بأن
المحتال كان شخصا آخر.
وهذا يقود إلى سؤال
أخلاقي
إذا كانت المؤسسة قد اختارت وسيلة تحقق معينة، ثم فشلت هذه الوسيلة، فمن
يتحمل التكلفة؟
إذا طلبت المؤسسة صورة بطاقة، ثم احتفظت بها.
إذا طلبت بيانات بيومترية.
إذا اعتمدت رسالة هاتفية.
إذا اعتمدت توقيعا إلكترونيا.
إذا ربطت حسابا بجهاز.
ثم وقع خلل أدى إلى انتحال الهوية.
هل يمكن أن يكون الرد دائما: “كان عليك أن تحمي بياناتك؟”
ربما في بعض الحالات يكون للمواطن مسؤولية.
لكن لا يمكن أن تكون المسؤولية تلقائيا على الطرف الأضعف.
فالجهة التي صممت النظام اختارت: ما
البيانات التي تجمعها.
واختارت:كيف تتحقق.
واختارت: أين تخزن.
واختارت: كم من الوقت تحتفظ.
واختارت: من يستطيع الوصول.
وبالتالي ينبغي أن تتحمل أيضا جزءا من مسؤولية مخاطر التصميم.
وهذا هو الفرق بين “مسؤولية
المستخدم” و”مسؤولية النظام”
من السهل أن نقول للمواطن: “احفظ هاتفك.”
لكن هل يمكن أن نقول له أيضا: “احفظ بصمتك؟”
كيف؟
“لا تسرب وجهك.”
كيف يفعل ذلك عندما تطلب منه عشرات الجهات صورته؟
“لا ترسل صورة بطاقتك.”
وماذا يفعل عندما تكون الصورة شرطا للحصول على الخدمة؟
“لا تفقد وسيلة المصادقة.”
وماذا لو سرقت؟
إذن لا يمكن تحميل المواطن وحده مسؤولية حماية شيء صمم النظام نفسه ليطلبه منه باستمرار.
هذه نقطة يجب أن تكون حاضرة في أي تشريع أو سياسة وطنية للهوية الرقمية.
وربما نحتاج إلى
تغيير فلسفة “الوثيقة”
الوثيقة التقليدية تقول: “هذه نسخة من هويتك.”
أما النظام الأكثر نضجا فيمكن أن يقول:
“هذه وسيلة للتحقق من صفة محددة دون الحاجة إلى كشف كل هويتك.”
وهنا نعود إلى مبدأ الإفصاح
الانتقائي.
إذا كان المطلوب إثبات أنك بالغ، فلا حاجة بالضرورة إلى كشف كل بيانات
بطاقة الهوية.
إذا كان المطلوب إثبات أنك صاحب حساب، فلا حاجة بالضرورة إلى إرسال صورة
كاملة من كل مستنداتك.
إذا كان المطلوب إثبات خلو صحيفة الحالة الجنائية من مانع محدد، فقد يكون
من الممكن - بحسب طبيعة الإجراء والقانون - تقديم إثبات للنتيجة بدلا من تداول المستند الكامل لدى كل جهة.
وهذا هو الاتجاه الذي يجب أن ندفع التفكير نحوه:
لا تجعل المواطن
يحمل هويته كاملة معه في كل معاملة.
بل اجعل النظام قادرا على إثبات
الخاصية المطلوبة فقط.
الهوية ليست شيئا
واحدا
وهذه نقطة فلسفية تستحق التوقف عندها.
الإنسان له اسم.
وله سن.
وله جنسية.
وله عنوان.
وله حالة اجتماعية.
وله مؤهلات.
وله سجل وظيفي.
وله وضع مالي.
وله حالة قانونية.
وله خصائص بيومترية.
لكن ليس من الضروري أن يحتاج كل طرف إلى معرفة كل هذه الأشياء.
المصرف يحتاج شيئا.
شركة الاتصالات تحتاج شيئا.
جهة العمل تحتاج شيئا.
الجامعة تحتاج شيئا.
الجهة الحكومية تحتاج شيئا آخر.
إذا أعطينا الجميع المفتاح الكامل
للهوية، فنحن لا نزيد الكفاءة فقط.
نحن نزيد عدد الجهات التي يمكن أن تتعرض هوية المواطن لديها للخطر.
وهنا يصبح التصميم الأفضل هو:
الحد الأدنى الضروري
من الهوية لإتمام المعاملة.
Minimum Necessary Identity
في الجزء التالي سنذهب إلى نقطة أخرى أخطر: ماذا يحدث عندما تدخل الخوارزميات والذكاء الاصطناعي نفسها في اتخاذ
القرار بشأن المواطن؟ من يحاسب الخوارزمية عندما تخطئ؟ وهل يستطيع
المواطن أن يطعن في قرار اتخذته منظومة لا يعرف كيف وصلت إليه؟
هذه المقال ستة أجزاء متكاملة
1-https://articlesinarabic.blogspot.com/2026/08/2026.html
2- https://articlesinarabic.blogspot.com/2026/08/blog-post_667.html
3- https://articlesinarabic.blogspot.com/2026/08/blog-post_155.html
4-https://articlesinarabic.blogspot.com/2026/08/blog-post_951.html
5- https://articlesinarabic.blogspot.com/2026/08/blog-post_559.html
6- https://articlesinarabic.blogspot.com/2026/08/blog-post_27.html
