قائمة فحص التدابير التقنية لقانون KVKK: دليل مؤسسي موجّه للتطبيق

الجواب المختصر: تُلزِم المادة 12 من قانون KVKK (قانون حماية البيانات الشخصية التركي) كل مؤسسة تعالج بيانات شخصية بأن “تتّخذ التدابير التقنية والإدارية اللازمة لتوفير مستوى أمان مناسب”. يحوّل هذا المقال الجزء التقني من هذه التدابير إلى قائمة فحص قابلة للتطبيق، ويُطابق كل بند بكيفية تطبيقه فعلياً في الميدان (جدار الحماية، تقسيم الشبكة، إدارة السجلات، النسخ الاحتياطي). الهدف هو بناء أرضية أمنية تعمل حقاً، بدلاً من تدابير على الورق يُقال “أنجزناها” لكن لا مقابل لها عند التدقيق أو لحظة وقوع خرق.

حدّ مهم: هذا المحتوى ليس استشارة قانونية؛ بل دليل تطبيق تقني. التزام KVKK يقع على مسؤول البيانات، والامتثال الكامل يتطلّب، إلى جانب التدابير التقنية أدناه، تدابير إدارية (مخزون، سياسة، عقد، تدريب) وتقييماً قانونياً. المصدر المُلزِم هو دليل أمن البيانات الشخصية الصادر عن هيئة حماية البيانات الشخصية (KVKK).

التدبير التقني والتدبير الإداري: ما الذي يقع في أي جهة

تُجمَع التدابير التي يتوقّعها KVKK تحت عنوانين، والخلط بينهما أكثر الأخطاء شيوعاً:

• التدابير الإدارية: مخزون البيانات الشخصية، سياسات معالجة البيانات، اتفاقيات السرية، تدريبات توعية الموظفين، تعريف الأدوار والمسؤوليات. تتمحور حول الإنسان والعملية.
• التدابير التقنية: التحكّم بالوصول، أمن الشبكات، التشفير، حفظ السجلات، النسخ الاحتياطي، إدارة التحديثات، اختبار الاختراق. تُطبَّق بالتقنية وهي موضوع هذا المقال.

يكمّل كلٌّ منهما الآخر. أفضل جدار حماية لا ينفع إن كان موظف غير مخوَّل يستطيع الوصول إلى البيانات الشخصية؛ وأصرم سياسة تبقى على الورق إن كانت الأنظمة مفتوحة تقنياً.

قائمة فحص التدابير التقنية لـ KVKK

تتبع العناوين التالية مجالات التدابير التقنية في دليل الهيئة؛ وتحت كل بند يُعطى “ما المتوقّع” و“كيف يُطبَّق في الميدان” معاً.

1. التخويل والتحكّم بالوصول

• من يستطيع الوصول إلى البيانات الشخصية مُعرَّف بوضوح (مصفوفة صلاحيات) ومُضيَّق وفق مبدأ “بقدر الحاجة”.
• الحسابات المشتركة أُزيلت؛ وكل مستخدم يصل بهوية منفصلة.
• المصادقة متعددة العوامل (MFA) مُعرَّفة للأنظمة الحرجة.
• وصول الموظف المغادر يُغلق في اليوم نفسه.

التطبيق في الميدان: مصفوفة الصلاحيات هي أول خطوة في تدقيقنا الأمني؛ لأن الصلاحية الزائدة تضاعف الضرر عند اختراق حساب. وعلى جانب الشبكة، يُدعَم التخويل بتقييد الوصول إلى الأجهزة والخدمات على أساس عنوان IP المصدر / الدور.

2. أمن الشبكات والتقسيم (segmentation)

• يوجد جدار حماية مُكوَّن بشكل سليم بين شبكة المؤسسة والإنترنت.
• الأنظمة التي تحوي بيانات شخصية مفصولة عن شبكة المستخدمين العامة وشبكة الضيوف (تقسيم VLAN).
• الوصول عن بُعد يتمّ عبر VPN فقط ومشفّراً.
• المنافذ والخدمات غير الضرورية مُغلقة تجاه الخارج.

التطبيق في الميدان: يُزيل التقسيم أكبر خطر في الشبكات المسطّحة حيث “من دخل يصل إلى كل مكان”. عملياً نبنيه بقواعد جدار حماية MikroTik وتكوين الـ VLAN؛ وقد تناولنا في مقال منفصل لماذا يجب أن تكون أجهزة الضيوف في شبكة منفصلة. وللوصول المؤسسي عن بُعد ننظر إلى جانب حلول VPN.

3. سجلات الأحداث وقابلية التتبّع

• الوصول إلى البيانات الشخصية وأحداث الأنظمة الحرجة تُسجَّل (من، ماذا، متى).
• السجلات محفوظة مركزياً وفي مكان منفصل يتعذّر العبث به.
• توجد آلية تنبيه (alerting) للأحداث الشاذة؛ فالسجل لا “يُجمَع ثم يُنسى”.

التطبيق في الميدان: عند وقوع خرق يكون أول سؤال “ماذا حدث، وأي بيانات جرى الوصول إليها”؛ ولا يجيب عنه إلا سجلات محفوظة بشكل سليم. للمراقبة والتسجيل المركزيين نستخدم بنية مراقبة الشبكة عبر Zabbix وخدمة مراقبة الشبكات.

4. التشفير

• البيانات الشخصية مشفّرة أثناء النقل (TLS/HTTPS، VPN) وفي التخزين معاً.
• مفاتيح التشفير مُدارة بمعزل عن مكان حفظ البيانات وبشكل آمن.
• الأجهزة المحمولة (حاسوب محمول، قرص) مشفّرة تشفير قرص كامل.

التطبيق في الميدان: التشفير هو خط الدفاع الأخير الذي يجعل البيانات غير قابلة للقراءة حتى لو سُرق الجهاز أو تسرّبت النسخة الاحتياطية. إدارة المفاتيح هنا هي الجزء الأكثر حرجاً والأكثر إهمالاً؛ فإن كان المفتاح في المكان نفسه مع البيانات، فالتشفير بلا معنى إلى حد كبير.

5. النسخ الاحتياطي والاستعادة

• البيانات الشخصية تُنسَخ احتياطياً بانتظام، وتُختبَر الاستعادة من النسخة.
• نسخة احتياطية واحدة على الأقل مقاومة لبرامج الفدية (immutable / غير قابلة للتغيير).
• النسخ الاحتياطية مشفّرة ووصولها مقيّد.

التطبيق في الميدان: فقدان البيانات خرقٌ للبيانات الشخصية أيضاً، لا التسريب فحسب. في عصر برامج الفدية لم تعد النسخة غير القابلة للتغيير رفاهية بل ضرورة؛ وقد شرحنا ذلك بالتفصيل في مقال عن النسخ الاحتياطي الـ immutable ضد برامج الفدية. وعلى الجانب المؤسسي تعتمد خدمة النسخ الاحتياطي لدينا مبدأ 3-2-1.

6. إدارة التحديثات والثغرات

• أنظمة التشغيل والتطبيقات وأجهزة الشبكة محدّثة؛ والتصحيحات الحرجة تُطبَّق في وقتها.
• يُجرى مسح ثغرات منتظم للثغرات المعروفة.
• مكافح الفيروسات / EDR محدَّث ومُدار مركزياً.

التطبيق في الميدان: الجزء الأكبر من الخروقات يقع عبر ثغرات معروفة صدر تصحيحها منذ أشهر. الإبقاء على التحديث هو أرخص التدابير وأكثرها فعالية. نُجري مسح الثغرات وتقييمها ضمن عملية تحليل الثغرات لدينا.

7. اختبار الاختراق والتدقيق الأمني

• يُجرى اختبار اختراق على فترات منتظمة (وبعد التغييرات المهمة).
• النتائج تُرتَّب حسب الأولوية وتُغلَق، فالتقرير لا يبقى على الرفّ.
• سطح الهجوم الظاهر لشبكتك من الخارج معروف.

التطبيق في الميدان: قيمة اختبار الاختراق ليست إنتاج تقرير، بل إيجاد الثغرات الحقيقية قبل المهاجم. يمكنك التساؤل عن مدى انكشاف شبكتك للهجوم عبر هذا التقييم، وللتدقيق الشامل يمكنك النظر إلى خدمة الأمن السيبراني لدينا.

8. تقليل البيانات والإخفاء والحذف

• لا تُجمَع إلا البيانات الشخصية اللازمة، ولا تُحتفظ أطول من اللازم.
• في بيئات الاختبار/التطوير تُستخدَم بيانات مُخفاة (masked) بدلاً من البيانات الشخصية الحقيقية.
• البيانات التي انتهت مدة حفظها تُحذَف/تُجهَّل بشكل غير قابل للاسترجاع.

التطبيق في الميدان: البيانات التي لا تحتفظ بها لا تتسرّب. التقليل والحذف في الوقت المناسب يُصغّران سطح المخاطر والالتزام معاً؛ فمعظم المؤسسات تحمل مخاطر لا لزوم لها لأنها تحتفظ ببيانات أكثر من اللازم لمدة أطول من اللازم.

من أين تبدأ: ترتيب الأولويات

لست مضطراً لفعل كل شيء دفعة واحدة؛ لكن ترتيب التسلسل بشكل صحيح مهمّ. ابدأ من الأعلى أثراً:

1. التحكّم بالوصول + مصفوفة الصلاحيات: أدنى تكلفة، أعلى أثر.
2. النسخ الاحتياطي (بما فيه الـ immutable): فقدان البيانات خرقٌ أيضاً؛ والبيانات التي لا تُستعاد هي أغلى الأخطاء.
3. تقسيم الشبكة + جدار الحماية: يقطع الانتشار الأفقي وتسرّب شبكة الضيوف/المستخدمين.
4. السجلات + المراقبة: لا يمكنك إدارة خرق لا تراه.
5. التحديث + مسح الثغرات، ثم التحقّق عبر اختبار الاختراق.

هل التدبير التقني وحده كافٍ؟

لا، ويجب قول ذلك بوضوح. تُنشئ قائمة الفحص أعلاه أرضية تقنية قوية، لكن الامتثال لـ KVKK كلٌّ متكامل: يتطلّب أيضاً مخزون البيانات الشخصية، والأساس القانوني لأغراض المعالجة، وعمليات التنوير والموافقة الصريحة، وعقود معالجي البيانات، وسياسة الحفظ والإتلاف، وتدريب الموظفين، وعملية الإبلاغ عن الخرق. هذا البُعد الإداري والقانوني يجب تقييمه مع التدابير التقنية معاً.

الجزء الذي نتولّاه نحن هو الجانب التقني: أمن الشبكات، والتقسيم، والمراقبة، والنسخ الاحتياطي، والتدقيق الأمني. لقياس نضج مؤسستك في التدابير التقنية وسدّ النواقص يمكنك الاستفادة من خدمة الأمن السيبراني لدينا؛ ولتقييم ذاتي سريع على مستوى الشركات الصغيرة والمتوسطة يمكنك الاطلاع على قائمة التحقّق للأمن السيبراني للشركات الصغيرة والمتوسطة.