القانون التركي رقم 5651 والسجلات: الإدارة المركزية للسجلات في المؤسسات

الاحتفاظ بالسجلات وفق القانون 5651 التزام ينبع من تنظيم البيئة الرقمية في تركيا (القانون رقم 5651)، ويقضي بأن تحتفظ المؤسسات التي توفر الإنترنت لموظفيها أو ضيوفها أو عملائها بسجلات توزيع عناوين IP الداخلية وسجلات الوصول بطريقة يمكن إثبات سلامتها. هذا الدليل ليس نصًا قانونيًا، بل يشرح لمدير تقنية المعلومات بنية السجلات المركزية من FortiGate إلى FortiAnalyzer أو خادم syslog، والختم الزمني، وسياسة الاحتفاظ، وضبط الوصول.

ما القانون رقم 5651 ومن يشمل؟

القانون رقم 5651 هو تنظيم البيئة الرقمية في تركيا، وعنوانه الكامل «قانون تنظيم المنشورات على الإنترنت ومكافحة الجرائم المرتكبة عبرها». يعرّف أربعة أطراف: مزوّد المحتوى، ومزوّد الاستضافة، ومزوّد الوصول، ومقدم خدمة الاستخدام الجماعي، ويحمّل كلًا منها التزامًا مختلفًا في حفظ السجلات. وتندرج المكاتب المؤسسية غالبًا ضمن الفئة الأخيرة.

ما يهم إدارة تقنية المعلومات في المؤسسة أن القانون يترك مدة الاحتفاظ ببيانات الحركة لمزوّدي الوصول (مزوّدي خدمة الإنترنت) ومزوّدي الاستضافة للائحة تنفيذية ضمن حد أدنى وحد أقصى، بينما يخصص لمقدمي الاستخدام الجماعي لائحة مستقلة. ينص القانون على أن يحتفظ مزوّد الوصول ببيانات الحركة مدة تحددها اللائحة لا تقل عن ستة أشهر ولا تزيد على سنتين، وأن تتراوح المدة لمزوّد الاستضافة بين سنة وسنتين. تحقّق من الصفة التي ينطبق بها القانون على مؤسستك عبر النص الساري للقانون على موقع mevzuat.gov.tr.

مقدم خدمة الاستخدام الجماعي هو الطرف الذي يتيح للأشخاص استخدام الإنترنت في مكان محدد ولمدة محددة. ووفق التفسير الشائع تدخل في هذا التعريف الشركة التي تتيح الإنترنت لموظفيها عبر شبكة سلكية أو لاسلكية، والجامعة التي تخدم طلابها، والفندق الذي يقدم شبكة Wi-Fi للضيوف، والمستشفى. أما مقدمو الخدمة لأغراض تجارية (مثل مقاهي الإنترنت التي تقدم الوصول مقابل رسوم) فتقع عليهم التزامات إضافية كوثيقة الترخيص والتصفية، بينما يُعامل المكتب المؤسسي في أغلب الحالات كمقدم غير تجاري. هذا ليس رأيًا قانونيًا؛ حدّد فئة مؤسستك مع مستشارك القانوني ووفق النص الساري للائحة.

النتيجة العملية لفريق تقنية المعلومات: أيًّا كانت الفئة، يجب أن تتمكن من إنتاج سجل يبيّن عنوان IP الداخلي الذي استخدمه كل جهاز يخرج من شبكتك إلى الإنترنت، وعنوان MAC الخاص به، والفترة الزمنية لذلك؛ وأن تحتفظ بهذا السجل بطريقة تثبت عدم تعديله؛ وأن تقدمه عند الطلب خلال مدة معقولة. هذه الأفعال الثلاثة (الإنتاج والإثبات والتقديم) هي متطلبات تصميم بنية السجلات، وتتقاطع مع التدابير التقنية لقانون KVKK التركي لحماية البيانات الشخصية. وللوفاء بالالتزامين على منصة واحدة، اطّلع على قائمة التحقق من التدابير التقنية لقانون KVKK.

ما السجلات التي يجب الاحتفاظ بها؟ سجلات توزيع IP الداخلية وسجلات الوصول

سجل توزيع عناوين IP الداخلية يبيّن العنوان الموزّع على الشبكة الداخلية، ووقت بدء استخدامه وانتهائه، وعنوان MAC للجهاز المستخدم. ويشمل تعريف سجلات الوصول في اللائحة أيضًا عنوان IP والمنفذ الوجهة عند مشاركة عنوان واحد عبر المنافذ (NAT). وعمليًا تتكوّن هذه السجلات من بيانات DHCP وNAT وجلسات الهوية معًا.

سجل DHCP وحده لا يكفي. فمعرفة أن جهازًا حصل على عنوان داخلي لا تبيّن عنوان IP العام والمنفذ المصدر اللذين خرج بهما إلى الإنترنت؛ وما يربط العنوان الداخلي بالعالم الخارجي هو سجل NAT. وفي الشبكات التي تستخدم المصادقة (802.1X أو captive portal) يشكّل سجل الجلسة الذي يربط عنوان IP بحساب مستخدم الحلقة الثالثة. وإذا اختلفت ساعات هذه المصادر الثلاثة انقطعت السلسلة أثناء التدقيق، ولذلك تُعد مزامنة الوقت أمرًا حاسمًا.

في الشبكة المؤسسية تنتج هذه السجلات عادةً المكوّنات التالية:

• خادم DHCP (خدمة DHCP المدمجة في FortiGate أو Windows Server أو جهاز مستقل): تأجير العنوان، وعنوان MAC، ووقت البدء والانتهاء.
• جدار الحماية (FortiGate): سجل الحركة، وترجمة NAT، وبداية الجلسة ونهايتها، وهوية المستخدم، والتطبيق والوجهة.
• وحدة التحكم اللاسلكية ومبدّلات الوصول (FortiAP وFortiSwitch): اقتران العميل، ومعلومات المنفذ وVLAN؛ وفي البيئة المُدارة عبر FortiLink تنضم هذه السجلات إلى تدفق سجلات FortiGate.
• خادم المصادقة (RADIUS أو Active Directory أو FortiAuthenticator): مطابقة اسم المستخدم مع الجهاز والوقت.

الخطأ الشائع هو الاكتفاء بـ«سجل الخروج إلى الإنترنت» وإهمال طبقتي DHCP والهوية. ولأن سؤال المدقق هو «من خرج من هذا العنوان في هذا الوقت؟» فيجب جمع كل حلقات السلسلة في مركز واحد. كما أن إزالة القواعد غير المستخدمة تخفّض حجم السجلات مباشرة؛ وقد شرحنا ذلك خطوة بخطوة في مقالنا عن تنظيف قواعد جدار الحماية وتدقيق السياسات.

مدة الاحتفاظ والختم الزمني: كيف تُثبت السلامة؟

بخصوص مدة الاحتفاظ تشترط لائحة مقدمي خدمة الاستخدام الجماعي للإنترنت حفظ سجلات الوصول إلكترونيًا في أنظمة المؤسسة الخاصة لمدة سنتين، وتسجيل قيمة يومية تؤكد دقتها وسلامتها وسريتها. وتُنتَج هذه القيمة عمليًا بالختم الزمني؛ تحقّق من المدة المنطبقة عليك في النص الساري للائحة.

الختم الزمني، المعرّف في إطار قانون التوقيع الإلكتروني التركي رقم 5070، خدمة تثبت أن بيانات إلكترونية كانت موجودة في لحظة معينة ولم تتغير بعدها. والآلية بسيطة: تُحسب البصمة المشفّرة (hash) لملف السجلات اليومي، وتُرسل إلى مزوّد خدمات الشهادات الإلكترونية المرخّص من BTK، فتعود موقّعة بمعلومات الوقت الرسمية. وعند التدقيق يُعاد حساب بصمة الملف وتُقارن بالختم؛ فإذا تغيّر بايت واحد لم تتطابق البصمة. ولأن البصمة وحدها هي التي تُرسل، لا تغادر البيانات الشخصية المؤسسة.

يستضيف موقع BTK برنامج IP Log İmzalayıcı (موقّع سجلات IP) الذي أُعد في ظل اللائحة السابقة لعام 2007؛ ويُذكر أن لائحة 2017 ألغت اشتراط استخدام برنامج بعينه، فتحقّق من الوضع الحالي. وعلى المستوى المؤسسي تتولى الختمَ عادةً منصة السجلات المركزية أو خدمة توقيع مستقلة. وهناك نقطتان مهمتان في التصميم: يجب أن يكون الختم يوميًا وآليًا (فالعملية اليدوية تُنسى، واليوم المنسي يبقى بلا دليل)، ويجب أن يطابق الملف المختوم الملف المؤرشف بايتًا ببايت (فإذا جرى الضغط بعد الختم لن تتطابق البصمة).

عند التخطيط للاحتفاظ حدّد ثلاث مدد منفصلة: مدة التحليل (بقاء السجلات في قاعدة بيانات قابلة للاستعلام، عادةً 30–90 يومًا)، ومدة الأرشيف (حفظ السجلات الخام مضغوطة ومختومة، أي المدة التي يشترطها التشريع)، ولحظة الإتلاف. وهنا يلتقي مبدأ KVKK بعدم الاحتفاظ بالبيانات أطول من اللازم مع التزام الاحتفاظ وفق 5651: تُضبط مدة الأرشيف على المدة النظامية ثم يعقبها إتلاف آلي. ولأن المصادر الثانوية تذكر مددًا مختلفة، اعتمد على نص التشريع وحده.

مقارنة بنى السجلات: القرص المحلي وsyslog وFortiAnalyzer وSIEM

الإدارة المركزية للسجلات تقوم على إحدى أربع بنى: القرص الخاص بجدار الحماية، وخادم syslog عام، وFortiAnalyzer، ونظام SIEM. في المكتب الصغير يكفي القرص المحلي على المدى القصير؛ وحين يلزم أرشيف مختوم لسنتين وأجهزة متعددة وتقارير تدقيق يصبح FortiAnalyzer أو syslog مع طبقة توقيع ضرورة عملية. أما SIEM فللمؤسسات التي تحتاج إلى الربط التحليلي ومركز عمليات أمنية.

ميزة القرص المحلي أنه لا يحتاج إلى عتاد إضافي؛ وضعفه أن السجلات تذهب مع الجهاز عند تعطله أو استبداله. وتوفر النسخ المزودة بأقراص SSD مثل FG-61F (سعة 128 GB) وFG-71G (سعة 64 GB) مساحة محدودة للتسجيل المحلي؛ ونحن نستخدمها مخزنًا مؤقتًا فقط ونحتفظ بالأرشيف الدائم مركزيًا.

خادم syslog (مثل rsyslog وsyslog-ng) هو الخيار الأكثر مرونة في البيئات متعددة المصنّعين، لكن النقل عبر UDP يبتلع فقد الحزم بصمت، ويجب بناء التدوير والتوقيع يدويًا. وفي FortiGate يمكن إعداد نقل syslog بثلاث طرق: UDP، والوضع الموثوق القديم المعتمد على TCP، ووضع TCP الموثوق بتأطير RFC 6587. وفي التدفق الذي يجب أن ينتج أدلة تدقيق، اختر الوضع الموثوق وتأكد من أن المستقبِل يفهم هذا التأطير. ولتفاصيل الإعداد راجع مقالنا عن تسجيل FortiGate والمراقبة والتكامل مع FortiAnalyzer.

FortiAnalyzer منصة سجلات مركزية مصممة لأجهزة Fortinet. تحتفظ بالسجلات في طبقتين: التحليل (قاعدة بيانات SQL قابلة للاستعلام) والأرشيف (خام ومضغوط)، ولكل منهما حصة ومدة مستقلتان؛ وعند تدوير ملف الأرشيف تُكتب بصمته في سجل الأحداث ويمكن فحصها لاحقًا بأمر التحقق من السلامة. ووفق أدلة Fortinet للإدارة وأفضل الممارسات الخاصة بـFortiAnalyzer، يبلغ متوسط سجل التحليل 600 بايت وسجل الأرشيف 80 بايت، وتُضغط سجلات التحليل بعد سبعة أيام إلى 150 بايت في المتوسط؛ وبهذه القيم نحسب حجم المنصة. غير أن الختم الزمني المعتمد ليس ميزة مدمجة في المنتج، بل تُصمَّم خطوة توقيع منفصلة ترسل بصمة كل ملف أرشيف يومي إلى مزوّد خدمات الشهادات.

نظام SIEM مخصص للربط التحليلي وإدارة الحوادث، والتزام 5651 بحد ذاته لا يتطلبه. وإذا كنت تشغّل SIEM بالفعل، فإن جعل FortiAnalyzer طبقة الجمع والأرشفة وSIEM طبقة التحليل يُبقي حجم الأرشيف تحت السيطرة.

كيف يُبنى تدفق السجلات من FortiGate إلى FortiAnalyzer؟

لتدفق سجلات FortiGate الترتيب كالتالي: أولًا مصدر الوقت (NTP) وقرار المنطقة الزمنية، ثم تحديد السياسات التي تُنتج السجلات، ثم تعريف وجهة FortiAnalyzer أو syslog بنقل موثوق ومشفّر، وأخيرًا كتابة سياسة الحصص والاحتفاظ والختم. وعكس الترتيب يعني أن التصحيح اللاحق يتضمن فقدًا للسجلات بأثر رجعي.

1. مصدر الوقت. يتصل FortiGate وFortiAnalyzer وخادم DHCP وخادم الهوية بمصدر NTP واحد. والالتباس في المناطق الزمنية أكثر مشكلات التدقيق شيوعًا؛ اعتمد معيارًا واحدًا (نحن نحفظ بتوقيت UTC مركزيًا ونحوّل إلى التوقيت المحلي في التقارير) ووثّقه.
2. سياسة التسجيل. يُحدَّد لكل قاعدة في جدار الحماية على حدة ما إذا كانت بداية الجلسة ونهايتها تُسجَّل. ومن منظور 5651 يجب تسجيل كل الحركة المتجهة إلى الإنترنت، أما الحركة بين المقاطع الداخلية فيُوازن فيها بين الحجم والفائدة. ومن دون تنظيف القواعد أولًا تستهلك القواعد غير المستخدمة الحصة أيضًا.
3. الوجهة. يتواصل FortiAnalyzer مع FortiGate عبر بروتوكول خاص مشفّر؛ وعند انقطاع الاتصال يخزّن الجهاز السجلات مؤقتًا ثم يعيد إرسالها. وإذا استُخدم syslog فالأفضل وضع TCP الموثوق مع TLS حيثما أمكن. ويشرح ملحق Fortinet بعنوان Log Integrity and Secure Log Transfer النقل الآمن والتحقق من بصمة ملفات الأرشيف.
4. تجميع الأجهزة. في FortiAnalyzer تفصل نطاقات ADOM الإدارية بين الفروع أو الشركات التابعة أو مجموعات العملاء، ولكل منها حصة ومدة خاصة. وهي كذلك حدود ضبط الوصول: فريق الفرع يرى نطاقه فقط.
5. الحصة والاحتفاظ. تُحسب حصة التحليل بضرب عدد السجلات اليومي × أيام التحليل × 600 بايت (الأسبوع الأول) و150 بايت (بعده)، وحصة الأرشيف بضرب عدد السجلات اليومي × أيام الاحتفاظ × 80 بايت. وعند امتلاء الحصة تُحذف أقدم السجلات، لذلك نضبط حصة الأرشيف فوق المدة النظامية مع عتبة تنبيه.
6. الختم. عند إغلاق ملف الأرشيف اليومي تُرسل بصمته إلى خدمة الختم الزمني، ويُحفظ الختم مدة الأرشيف نفسها. وتُؤتمت هذه الخطوة وتُطلق تنبيهًا عند الفشل.
7. الاختبار والتمرين. بعد التركيب يؤكد تمرينٌ إمكانية الإجابة خلال دقائق عن سؤال «من استخدم هذا العنوان الداخلي في هذا الوقت من الشهر الماضي؟».

وفق ورقة بيانات Fortinet FortiAnalyzer، تمتد عائلة الأجهزة من 100 GB يوميًا (FAZ-300G) إلى 8300 GB يوميًا (FAZ-3750G) من السجلات، ومن 180 إلى 10000 جهاز/VDOM؛ كما تتوفر خيارات الأجهزة الافتراضية وFortiAnalyzer Cloud للبيئات الأصغر. ونختار الطراز بعد قياس الحجم اليومي للسجلات أسبوعًا على الأقل؛ ففي خبرتنا الميدانية تُطلق المنصات المحسوبة بالتقدير تنبيهات الحصة مبكرًا.

ضبط الوصول وسياسة الاحتفاظ وأدلة التدقيق

ضبط الوصول إلى السجلات نموذج قائم على الأدوار يفصل بين من يمكنه عرض السجلات ومن يمكنه تصديرها ومن يمكنه حذفها. ولأن سجلات 5651 تتضمن بيانات شخصية، فإن مبدأ KVKK هو أقل صلاحية ممكنة؛ ويجب أيضًا الاحتفاظ بسجل إدارة منصة السجلات نفسها، لأن المدقق سيسأل كذلك «من اطّلع على السجلات؟».

عمليًا تكفي ثلاثة أدوار: محلل للقراءة فقط (يستعلم ولا يصدّر)، ومشغّل (الحصص والأجهزة وقوالب التقارير، دون حذف)، ومدير (سياسة الاحتفاظ والحذف بموافقة شخصين). ويجب أن تكون الحسابات شخصية دون حساب «admin» مشترك، وأن تكون المصادقة المركزية ومتعددة العوامل إلزامية لمنصة السجلات أيضًا.

ينبغي أن تكون سياسة الاحتفاظ مكتوبة وأن تتضمن: مصادر السجلات المجمّعة، ومدد التحليل والأرشيف، وخدمة الختم وتكرارها، وطريقة التحقق من الإتلاف، ومكان النسخة الاحتياطية، وكيفية استعادة الأرشيف بعد الكوارث. ويعدّ دليل أمن البيانات الشخصية (التدابير التقنية والإدارية) الصادر عن مجلس KVKK الاحتفاظ المنتظم بالسجلات وحفظ سجلات الوصول من التدابير التقنية؛ وأرشيف 5651 ينتج جزءًا كبيرًا من هذا الدليل في الوقت نفسه.

يتكوّن دليل التدقيق من ثلاثة عناصر: تقرير يبيّن مطابقة المستخدم أو الجهاز لتاريخ وعنوان IP داخلي محددين، ومخرجات تحقق تُظهر تطابق بصمة ملف أرشيف ذلك اليوم مع الختم الزمني، وسجل وصول الشخص الذي أعدّ التقرير. وإذا كنت لا ترغب في إدارة هذه العمليات بفريقك، يمكن إدراج متابعة الحصص وفحص الختم وتقرير الامتثال الشهري ضمن خدمة جدار الحماية المُدارة؛ وفي مشاريعنا نجمع هذه المهام الثلاث في جدول خدمة واحد.

الأسئلة الشائعة

هل تلتزم شركة عادية توفر الإنترنت لموظفيها بحفظ السجلات وفق القانون رقم 5651؟

وفق التفسير الشائع نعم: المؤسسة التي تتيح استخدام الإنترنت في مكان ووقت محددين تُعد مقدم خدمة استخدام جماعي ويُتوقع منها حفظ سجلات توزيع عناوين IP الداخلية. ولمقدمي الخدمة التجاريين التزامات إضافية. حدّد فئتك وفق النص الساري للائحة ومع مستشارك القانوني.

كم مدة الاحتفاظ بسجلات 5651؟

تنص لائحة مقدمي خدمة الاستخدام الجماعي للإنترنت على الاحتفاظ بسجلات الوصول سنتين، بينما يحدد القانون نطاقات أخرى لمزوّدي الوصول والاستضافة. ولأن المصادر الثانوية تتداول مددًا مختلفة، اعتمد على نص التشريع واذكر المادة المستند إليها في سياسة الاحتفاظ لديك.

هل يُعتد بسجل بلا ختم زمني؟

تشترط اللائحة تسجيل قيمة يومية تؤكد دقة السجلات وسلامتها وسريتها، وتُنتَج هذه القيمة عادةً بالختم الزمني. والسجل الذي لا يمكن إثبات عدم تعديله دليل ضعيف في التدقيق، لذلك يجب أن يكون الختم اليومي الآلي جزءًا من البنية.

هل يكفي قرص FortiGate الخاص لمتطلبات 5651؟

في مكتب بجهاز واحد وحركة منخفضة يفي التسجيل المحلي قصير المدى بالغرض، لكن السجلات تضيع عند تعطل الجهاز، ولا يتسع القرص لأرشيف سنتين، ويتطلب الختم تصدير الملفات. ننصح بحفظ الأرشيف الدائم على FortiAnalyzer أو FortiAnalyzer Cloud أو خادم syslog بنقل موثوق.

هل يضع FortiAnalyzer ختمًا زمنيًا؟

يسجّل FortiAnalyzer بصمة ملف الأرشيف عند تدويره ويوفر أمرًا للتحقق من السلامة، لكن الختم الزمني الرسمي من مزوّد مرخّص من BTK ليس ميزة مدمجة. لذلك تُصمَّم إلى جانبه خطوة آلية منفصلة تختم بصمة كل ملف أرشيف يومي.

ما خطر إرسال syslog عبر UDP؟

لا يُبلغ UDP عن الحزم المفقودة، فتظهر السجلات الناقصة في أوقات الذروة فجوات أثناء التدقيق. يدعم FortiGate وضع TCP الموثوق بتأطير RFC 6587؛ تأكد من أن المستقبِل يفهم هذا الوضع، وشفّر النقل عبر TLS حيثما أمكن.

كيف تُحمى السجلات وفق KVKK؟

عناوين IP وMAC وأسماء المستخدمين بيانات شخصية. يجب أن يكون الوصول قائمًا على الأدوار بأقل صلاحية، وأن يُحفظ سجل إدارة المنصة، وأن يكون الإتلاف بعد انقضاء المدة آليًا وقابلًا للتحقق. نفّذ تدابير KVKK وأرشيف 5651 على منصة واحدة.

الخلاصة

ينتظر القانون التركي رقم 5651 ولائحته من مؤسستك ثلاثة أمور: إنتاج سجلات توزيع عناوين IP الداخلية، والاحتفاظ بها مع إثبات سلامتها طوال المدة النظامية، وتقديمها عند الطلب. وهذه مسألة بنية: مصدر وقت واحد، وسلسلة DHCP وNAT والهوية مجمّعة في مكان واحد، ونقل موثوق، وحصص تحليل وأرشيف مخطط لها بشكل منفصل، وختم زمني يومي آلي، ووصول قائم على الأدوار. وحين يتعلق الأمر بأرشيف مختوم لسنتين يصبح FortiAnalyzer أو syslog الموثوق مع طبقة توقيع ضرورة عملية. تحقّق دائمًا من التفاصيل القانونية كالمدد وتعريف الملزَمين في النص الساري للتشريع.

إذا رغبت في تصميم قياس حجم السجلات وحساب سعة FortiAnalyzer وسياسة الاحتفاظ وتدفق الختم لبيئة FortiGate لديك معًا، تواصل معنا لجلسة استكشافية مجانية؛ نستمع إلى احتياجاتك ونعدّ عرضًا للمكوّنات التي تحتاجها فعلًا فقط.