انتقل إلى المحتوى
مساعدة طارئةابدأ الآن
الامتثال والحوكمة

ما هو ADHICS، معيار أبوظبي الخاص بأمن المعلومات الصحية والأمن الإلكتروني؟

يحدد معيار ADHICS V2، الساري منذ أغسطس 2024، ضوابط أمن المعلومات الصحية والأمن الإلكتروني للجهات الصحية في أبوظبي. النطاق والمجالات وعمليات التدقيق.
بقلم Vigilbaseنُشر في
اقرأ الدليلمزيد من المواضيع

يُعدّ معيار أبوظبي الخاص بأمن المعلومات الصحية والأمن الإلكتروني (ADHICS) معيارَ أمن المعلومات والأمن الإلكتروني الذي أصدرته دائرة الصحة – أبوظبي لقطاع الصحة في الإمارة. وقد نُشر الإصدار الحالي، ADHICS V2، في مايو 2024 ودخل حيز التنفيذ في أغسطس 2024. وينطبق على أي جهة في إمارة أبوظبي تُنشئ المعلومات الصحية أو تصل إليها أو تخزنها أو تستخدمها أو تعالجها أو تنقلها، بما في ذلك المنشآت الصحية والجهات الدافعة ومزودو التقنيات والخدمات الصحية. وتتولى دائرة الصحة (DoH) تدقيق الجهات الخاضعة للتنظيم، ويمكنها فرض عقوبات عند مخالفة المعيار.

من أصدر معيار ADHICS ومتى؟

أطلقت دائرة الصحة (DoH) معيار ADHICS في عام 2019. ونُشر الإصدار الأول، ADHICS V0.9، في 3 فبراير 2019، وألزمت الدائرة المنشآت الصحية في أبوظبي بالامتثال له قبل 29 فبراير 2020. ويحل ADHICS V2 محله، إلى جانب معيار أمن إنترنت الأشياء الطبية (IoMT) ومعيار خصوصية بيانات الرعاية الصحية للمرضى، وكلاهما الإصدار V0.9 لعام 2020. ويتولى مكتب أمن المعلومات والأمن الإلكتروني في دائرة الصحة ملكية الإصدار V2، ومن المقرر مراجعته في مايو 2027.

ما الجهات الملزمة بالامتثال لمعيار ADHICS؟

ينطبق ADHICS V2 على أي جهة في إمارة أبوظبي تُنشئ المعلومات الصحية أو تصل إليها أو تخزنها أو تستخدمها أو تعالجها أو تنقلها، بما في ذلك المنشآت الصحية والجهات الدافعة ومزودو التقنيات والخدمات الصحية. ويشمل أيضًا مهنيي الرعاية الصحية وموظفي الدعم الذين يمكنهم الوصول إلى المعلومات الصحية أو التشخيصية أو الشخصية للمرضى. ويجب على أي جهة تخزّن المعلومات الصحية الواردة من الإمارة أو تعالجها أن تستوفي الضوابط المنطبقة، ويُعدّ الامتثال لحد أدنى من ضوابط ADHICS شرطًا مسبقًا للانضمام إلى «ملفّي»، منصة أبوظبي لتبادل المعلومات الصحية.

ما هيكل معيار ADHICS V2؟

يتناول القسم A الحوكمة والإطار العام، ويحدد القسم B الضوابط ضمن 11 مجالًا. وتنقسم الضوابط إلى أربع فئات بحسب نوع الجهة، تضم 131 ضابطًا موزعة على الفئات الأساسية والانتقالية والمتقدمة، إضافة إلى فئة مزودي الخدمات. وتنطبق الضوابط الأساسية افتراضيًا على كل جهة، كما تطبّق الجهات المتقدمة الضوابط الانتقالية افتراضيًا.
1.المجالات: أمن الموارد البشرية؛ وإدارة الأصول؛ والأمن المادي والبيئي؛ والتحكم في الوصول؛ وإدارة الاتصالات والعمليات؛ وخصوصية البيانات وحمايتها؛ وأمن الحوسبة السحابية؛ وأمن الأطراف الثالثة؛ واقتناء نظم المعلومات وتطويرها وصيانتها؛ وإدارة حوادث أمن المعلومات؛ وإدارة استمرارية نظم المعلومات.
2.الأساسية: تنطبق دائمًا؛ 58 ضابطًا و274 ضابطًا فرعيًا.
3.الانتقالية: المستشفيات التي تضم من 1 إلى 20 سريرًا، والمراكز مثل مراكز التشخيص وغسيل الكلى والإخصاب في المختبر وإعادة التأهيل؛ 40 ضابطًا و171 ضابطًا فرعيًا.
4.المتقدمة: المستشفيات التي تضم 21 سريرًا أو أكثر، ومنصة «ملفّي» لتبادل المعلومات الصحية، وشركات التأمين، وشركات الإدارة من الأطراف الثالثة؛ 33 ضابطًا و132 ضابطًا فرعيًا.
5.مزودو الخدمات: يطبّق جميع مزودي التقنيات والخدمات الصحية الضوابط الواردة في هذه الفئة.

ما ضوابط ADHICS التي توجّه العمليات الأمنية؟

يحدد عدد قليل من ضوابط الإصدار V2 الإيقاع التشغيلي في ما يخص السجلات والحوادث والاستضافة والموردين.
1.السجلات: تحمي الجهات المتقدمة السجلات من العبث أو التعديل أو الإتلاف، وتحتفظ بها في نظام مركزي لإدارة السجلات لمدة تلبي المتطلبات القانونية والتنظيمية واحتياجات الجهة؛ ويجب على مزودي الخدمات أيضًا حماية سجلاتهم.
2.الحوادث: إبلاغ مركز العمليات الأمنية الصحية في أبوظبي (Abu Dhabi Health SOC) بحوادث أمن المعلومات والخصوصية ضمن أطر زمنية محددة مسبقًا. وتحددها إرشادات التطبيق بحسب الأولوية، بدءًا من الإبلاغ في الوقت شبه الفعلي للأولوية P1 وصولًا إلى الإبلاغ خلال 24 ساعة من الإقرار بالحادثة للأولوية P4.
3.خروقات البيانات: مشاركة نموذج خرق البيانات مع دائرة الصحة (DoH) خلال 72 ساعة من الإقرار بالحادثة.
4.الحوسبة السحابية (ضوابط الفئة الانتقالية وفئة مزودي الخدمات): استضافة البيئة السحابية فعليًا داخل دولة الإمارات، بما في ذلك النسخ الاحتياطي والتعافي من الكوارث، وإبقاء مفاتيح التشفير الخاصة بالجهة خارج سيطرة مزود الخدمة السحابية.
5.موقع البيانات: عدم تخزين المعلومات الصحية أو معالجتها أو نقلها خارج دولة الإمارات ما لم تُصدر دائرة الصحة (DoH) استثناءً محددًا وساري المفعول.
6.الأطراف الثالثة: تضمين بنود حق التدقيق، وإخطار دائرة الصحة (DoH) على وجه السرعة بأي حادثة أمنية تتعلق بطرف ثالث.

كيف يُطبَّق معيار ADHICS ويُدقَّق الالتزام به؟

تُجري دائرة الصحة (DoH) عمليات تدقيق دورية وتقييمات فنية للجهات الخاضعة للتنظيم للتحقق من الامتثال، ويجب على الجهات إجراء عمليات تدقيق مستقلة مرة واحدة سنويًا على الأقل. ووفقًا لإرشادات تطبيق الإصدار V2، يُدمج التدقيق الخارجي لمعيار ADHICS في برنامج تدقيق المنشآت الصحية ويرتبط بترخيص المنشآت، سواء للتسجيلات الجديدة أو للتجديدات. ويمنح الإصدار V2 كل فئة من فئات الضوابط المهلة نفسها: خلال ستة أشهر من الانضمام الرسمي إلى البرنامج أو من صدور المعيار، أيهما أسبق. ويمكن لدائرة الصحة فرض عقوبات عند مخالفة المعيار بموجب اللائحة التأديبية لقطاع الرعاية الصحية في أبوظبي؛ ولا يحدد المعيار مبالغ الغرامات.

كيف تُثبت الجهات الصحية امتثالها لمعيار ADHICS؟

تشمل قائمة التقييم الذاتي الواردة في إرشادات التطبيق جميع الضوابط البالغ عددها 131 ضابطًا وضوابطها الفرعية، ويتوقع المدققون سجلات تُثبت تشغيل كل ضابط منطبق.
1.التقييم الذاتي المكتمل وفئة الضوابط التي تنتمي إليها الجهة.
2.السياسات وتقييمات المخاطر وقوائم جرد الأصول ومراجعات صلاحيات الوصول.
3.سجلات مركزية ومحمية، ومدة الاحتفاظ المختارة لها.
4.تقارير الحوادث المرفوعة إلى مركز العمليات الأمنية الصحية في أبوظبي (Abu Dhabi Health SOC) ونماذج خرق البيانات المرسلة إلى دائرة الصحة (DoH).
5.سجلات الاستضافة السحابية وإدارة المفاتيح التي تُثبت الاستضافة داخل دولة الإمارات.
6.عقود الأطراف الثالثة المتضمنة بنود حق التدقيق والتزامات الإخطار بالحوادث.

أين تساعد Vigilbase في توفير أدلة الامتثال لمعيار ADHICS؟

يربط Vigilbase OS أدوات الأمان التي تدفعون مقابلها بالفعل، ويحفظ سجلاتها وأحداثها قابلة للتدقيق والاستعلام في مكان واحد. ويسجّل كل تحقيق الأدلة والإجراء المتخذ ونتيجة التحقق، ما يساعدكم على إعداد سجلات الحوادث والوقائع التي يطلبها مركز العمليات الأمنية الصحية في أبوظبي (Abu Dhabi Health SOC) ودائرة الصحة (DoH). وتشغّل خدمات Cloudflare المُدارة ضوابط WAF وDDoS لبوابات المرضى والتطبيقات العامة الأخرى ضمن النطاق المتفق عليه. ويُبقي ADHICS المعلومات الصحية داخل دولة الإمارات ما لم تمنح دائرة الصحة استثناءً، وتشترط ضوابطه الخاصة بالحوسبة السحابية الاستضافة داخل الدولة، ويندرج أي مزود للتقنيات أو الخدمات الصحية ضمن فئة مزودي الخدمات فيه. قدّموا متطلبات موقع البيانات أثناء تحديد النطاق؛ ونؤكد الإعدادات المدعومة والمتطلبات غير المحسومة قبل بدء الخدمة.

حول هذا الدليل

يلخص هذا الدليل معيار ADHICS V2 وإرشادات تطبيقه كما نشرتها دائرة الصحة (DoH) وفق ما كان متاحًا في أكتوبر 2026. وهو ليس استشارة قانونية. وتسود منشورات دائرة الصحة على هذا الملخص؛ فأكّدوا فئة الضوابط والالتزامات الخاصة بكم مع دائرة الصحة والمسؤولين عن الامتثال لديكم.

أبرز النقاط

✓دخل ADHICS V2 حيز التنفيذ في أغسطس 2024، وينطبق على أي جهة في أبوظبي تتعامل مع المعلومات الصحية.
✓تنقسم الضوابط إلى الفئات الأساسية والانتقالية والمتقدمة وفئة مزودي الخدمات، ضمن 11 مجالًا.
✓تُدقّق دائرة الصحة (DoH) الجهات الخاضعة للتنظيم، وتربط عمليات تدقيق ADHICS بترخيص المنشآت، ويمكنها فرض عقوبات.
✓تبقى المعلومات الصحية والاستضافة السحابية داخل دولة الإمارات ما لم تمنح دائرة الصحة (DoH) استثناءً محددًا.

المصادر

حلول ذات صلة

خدمات Vigilbase المرتبطة بهذا الدليل

SOC مُدار

اعرف المزيد

خدمات Cloudflare المُدارة

اعرف المزيد

ابدأ مع Vigilbase OS

اعرف المزيد

الأمن السيبراني المُدار في الإمارات

اعرف المزيد

الأسئلة الشائعة

ما هو تدقيق ADHICS؟

تُجري دائرة الصحة (DoH) عمليات تدقيق دورية وتقييمات فنية للجهات الخاضعة للتنظيم للتحقق من امتثالها لمعيار ADHICS. ويُدمج التدقيق الخارجي لمعيار ADHICS في برنامج تدقيق المنشآت الصحية ويرتبط بترخيص المنشآت، سواء للتسجيلات الجديدة أو للتجديدات.ويجب على الجهات أيضًا إجراء عمليات تدقيق مستقلة مرة واحدة سنويًا على الأقل، والاحتفاظ بسجلات تُثبت تشغيل كل ضابط منطبق.

من يتعين عليه الامتثال لمعيار ADHICS؟

أي جهة في إمارة أبوظبي تُنشئ المعلومات الصحية أو تصل إليها أو تخزنها أو تستخدمها أو تعالجها أو تنقلها، بما في ذلك المنشآت الصحية والجهات الدافعة ومزودو التقنيات والخدمات الصحية.

ما الذي تغيّر في ADHICS V2؟

يحل ADHICS V2، الذي نُشر في مايو 2024 ودخل حيز التنفيذ في أغسطس 2024، محل ADHICS V0.9 لعام 2019 ومعياري عام 2020 بشأن أمن إنترنت الأشياء الطبية (IoMT) وخصوصية بيانات الرعاية الصحية للمرضى. ويُصنّف الضوابط ضمن الفئات الأساسية والانتقالية والمتقدمة وفئة مزودي الخدمات عبر 11 مجالًا، من بينها خصوصية البيانات وحمايتها وأمن الحوسبة السحابية.

هل يجوز استضافة المعلومات الصحية خارج دولة الإمارات بموجب ADHICS؟

لا يجوز ذلك دون استثناء محدد وساري المفعول من دائرة الصحة (DoH). كما تشترط ضوابط الحوسبة السحابية في ADHICS V2 للجهات الانتقالية ومزودي الخدمات أن تُستضاف البيئات السحابية، بما في ذلك النسخ الاحتياطي والتعافي من الكوارث، فعليًا داخل دولة الإمارات.

ما المهلة المحددة للإبلاغ عن الحوادث بموجب ADHICS؟

تُبلَّغ الحوادث إلى مركز العمليات الأمنية الصحية في أبوظبي (Abu Dhabi Health SOC) ضمن أطر زمنية محددة مسبقًا، تحددها إرشادات التطبيق بحسب الأولوية، بدءًا من الإبلاغ في الوقت شبه الفعلي للأولوية P1 وصولًا إلى الإبلاغ خلال 24 ساعة من الإقرار بالحادثة للأولوية P4. ويُرسَل نموذج خرق البيانات إلى دائرة الصحة (DoH) خلال 72 ساعة من الإقرار بالحادثة.مسؤوليات العمليات الأمنيةالتغطية والتزامات الاستجابة للحوادث

مواضيع ذات صلة

أساسيات الأمن

ما SOC؟

أمن الشبكات

ما WAF؟

الامتثال والحوكمة

قانون حماية البيانات الشخصية الإماراتي (PDPL)

الامتثال والحوكمة

معيار UAE IA

ابدأ الآن

هل أنت مستعد لتحسين أمنك؟

يمكن لفريقنا مساعدتك في تطبيق التدابير الأمنية الواردة في هذا الدليل. احصل على إرشاد متخصص يناسب مؤسستك.
ابدأ الآن واصل التعلّم