GDPR/ISO 27001: רישום ודרישות אחסון נתונים

1) מדוע זה משנה

יומנים ובסיסי נתונים הם נתונים אישיים (IP, זיהוי עוגיות, זיהוי התקן, זיהוי משתמש, אירועים התנהגותיים). משמעות הדבר היא שהן כפופות: חוקיות ושקיפות של עיבוד, הגבלת תכלית וזמן, מזעור, דיוק, שלמות/סודיות, וזכויות הנבדקים (GDPR). ISO 27001 מוסיף ניהול ובקרה טכניים: מדיניות כריתת עצים, ניטור, הגנת נכסים, ניהול גישה, יתירות, קריפטוגרפיה וניהול שינויים.

2) בסיס משפטי ומטרות (GDPR)

מטרות רישום: ביטחון, חקירת אירוע, יישום של חוקים, ביקורת פיננסית, להילחם נגד הונאה.

עילה חוקית:

אינטרסים חוקיים - אבטחה ברשת, אנטי הונאה; לעשות בדיקת איזון של עניין.
התחייבות חוקית/חוזה - חשבונאות, דיווח מס, שביל AML/KYC.
הסכמה - רק לאנליטיקה/שיווק, לא ליומני אבטחה ”הכרחיים”.
שקיפות: הודע ב ־ Privacy Intelligence, בחר קטע נפרד על יומנים/מועדים/קטגוריות של מקבלים.

3) גישת DPIA וסיכון

ניהול DPIA לניטור התנהגות בקנה מידה גדול (אירועי משחקים, ביומטריה התנהגותית, פרופילים נגד הונאה). תאר: מטרות, סקופים, סיכונים, צעדים מקלים (פסאודונימיזציה, גישה לפי תפקיד, חיי מדף קצרים, אחסון נפרד של מפתחות). ‏

4) זכויות של נושאים וחריגים

גישה/העתק: לספק מידע על קטגוריות ותקופות רישום; אל תחשוף חתימות אבטחה.

תיקון/הגבלה/התנגדות: הערכה של הבקשה כנגד הצורך בחובות בטיחות וחוק.

מחיקה: חריגים מותרים אם יש צורך באחסון כדי להגן מפני תביעות, לציית לחוק או לחקור אירוע; הקלט את ההחלטה ואת תקופת השינוי.

5) שימור ומזעור

לתקן את מטריצת רטנשן: מה, איפה, למה, מונח, בסיס, מי הבעלים, איפה הוא מנוכר.

עקרונות:

מועדים קצרים ליומנים רגישים ביותר (בקשות גולמיות עם IP/UA, טלמטריה לא מקובצת).
צבירה וכינוי לאנליטיקה לטווח ארוך (לדוגמה, חשיש/אסימון במקום IP).
מחיקה אוטומטית/אנונימיות על ידי טיימר; איסור על רישומים ”נצחיים”.

דוגמה (קווים מנחים, להסתגל לתחום השיפוט/רגולטור):

יומני שרת אינטרנט (IP, UA, Path) - 30-90 ימים (אבטחה/איתור).
שובל ביקורת של פעולות ניהול - 1-3 שנים (ביטחון/ציות).
עסקאות תשלום (metadata) - 5-10 שנים (חשבונאות/מסים, דרישות מקומיות).
חפצי KYC/AML - על פי חוק השיפוט (לרוב 5-7 שנים).
תכונות אנטי-פרוד - 6-24 חודשים. עם הערכה מחדש סדירה של הכרח.

6) ISO 27001: מה נדרש ליומנים וניטור (בפועל)

מדיניות רישום וניטור: להגדיר אירועים, כרכים, רמות, אחריות, אחסון, ניתוח, הסלמה.

בקרה טכנית (רישום):

לכידת אירועים משמעותיים (אימות/אישור, שינויי זכויות/הגדרה, גישה לנתונים, עסקאות קריטיות, פעולות ניהול, טעויות אבטחה).
סינכרון זמן (NTP, מקור מוגן), אזורי זמן אחסון ותוויות מדויקות (אלפיות שנייה).
הגנת יושרה: חנויות תולעת, אינדקסים בלתי ניתנים לשינוי, שרשראות חשיש/חתימות, בקרת גישה בלבד.
הפרדת סביבות ויומנים (prod/stage/dev), בידוד סודות ומח "ש ביומנים.

ניטור פעילות:

SIEM/UEBA, מתאם אירועים, סף והתראות, תגובת חוברת משחקים.
סקירות יומן רגילות ”ידניות” עבור אזורים קריטיים (אדמין, תשלומים, גישה ל-DWH).
תפקידים ואחריות: בעל נכס, בעל יומן, קצין ציות, תהליך תקרית.
Log Life Cycle: Collection # Transport (TLS/mTLS).

7) סיווג נתונים ובקרת גישה

שיעורי הנתונים הם Public/Internal/Security/Restricted (PII/Finance/KYC).

Masking/Revision Policy: Insult Fields (פאן, CVV, סיסמאות, אסימונים).

RBAC/ABAC: מינימום דרוש גישה, תפקידים נפרדים ”קריאת יומנים” ו ”ניהול”.

יומני גישה ליומן (מתכות): מי, מתי, מה נכנס.

8) קריפטוגרפיה, מפתחות ותחבורה

הצפנת שידור: TLS 1. 2+/1. 3, אם-טי-אל-אס בין סוכנים לאספנים, אישור תעודה.

הצפנה במנוחה: אחסון דיסקים/אובייקטים, מפתחות ב ־ KMS/HSM, סיבוב מפתחות, מפתחות נפרדים לשיעורי נתונים שונים.

קטעים: אינדקסים/דליים נפרדים עבור מח "ש ועבור יומנים טכניים.

9) גיבויים, ארכיון מחוץ לאתר והתאוששות

גיבויים: לוח זמנים, הצפנה, בקרת שחזור (תרגילי DR רגילים), הגנת תוכנות שכתוב/כופר.

Offsite/multi-region: לוקח בחשבון את הדרישות של לוקליזציה/מעבר גבול (DPA, SCC, adequacy).

מונחים אחידים: שימור בגיבויים לא צריך ”אפס” את תנאי המחיקות במכירה; תפוגת ארכיון אוטומטית.

10) העברה לצדדים שלישיים (מעבדים)

DPA עם לוג אנליטיקה/ספקי ענן/אספנים: תפקידים, תת-מעבדים, מיקומי אחסון, אמצעי הגנה, מועדי מחיקה.

תמסורת חוצה גבולות: מנגנונים משפטיים (SCC, וכו '), אמצעים טכניים (הצפנה מקצה לקצה, פסאודונימיזציה).

ביקורת ודיווח: זכות לביקורת, דוחות SOC/תעודות, יומני גישה.

11) על תקריות והודעות (GDPR)

זיהוי וקיבעון: התראות SIEM, דו "ח אירוע, הקפאת יומנים רלוונטיים (אחיזה משפטית).

72 שעות להודיע לרגולטור במקרה של דליפה משמעותית של נתונים אישיים; הערכת השפעה, הרכב הודעה, ראיות לצעדים.

לאחר המוות: יציאות למדיניות/בקרה, עדכון רטשן/מיסוך.

12) טעויות טיפוסיות וכיצד להימנע מהן

שדות רגישים (סיסמאות, אסימונים, PAN/CVV) # מסכה ברמת SDK/עטיפה.

יומנים טכניים תמידיים ”ליתר ביטחון” = לשים TTL ואנונימיות.

Super Access' SIEM # תפקידים נפרדים ומאפשרים MFA.

Prod/dev logs undervided post ולהגביל את הגישה.

היעדר מטריצת שימור ומסיתים אוטומטיים, הוא סיכון של קנסות GDPR ודליפות מוגזמות.

גיבויים ללא הצפנה/תפוגה * עותקים ”נצחיים” של PII.

13) מטריצת רטנשן (מדגם)

קטגוריה	שדות לדוגמה	תכלית	בסיס	מונח	אחסון/מחלקה	בעלים	Ad notata
גישה לאינטרנט	IP, UA, נתיב	בטיחות	אינטרס לגיטימי	ימים 60	דלי תולעת (מוצפן)	מחסנים	אנחנו מתקבצים 30 יום
ביקורת אוטומטית	זיהוי, פעולה	חקירה	אינטרס לגיטימי	השנה 1	SIEM/Index (מוצפן)	מחסנים	חובה MFA
ביקורת מנהלים	אדמיניד, שינויים	בקרת גישה	חוקי/חוזה	3 שנים	כספת תולעת	CISO	מחיקה אינה ישימה
מטא תשלומים	txnID, כמויות	חשבונאות/מסים	חוקי	5-10 שנים	מוצפן DB/ארכיון	מימון	על ידי סמכות שיפוטית
KYC/AML	דוקטור האש, בדיקות	חוק	חוקי	5-7 שנים	כספת מוצפנת	ציות	אחיזה DPIA/משפטית
תכונות נגד הונאה	התקן, אשכול	בטיחות	אינטרס לגיטימי	12-24 חודשים	חנות מדומה	סיכון	סקירה רגילה

14) מדיניות כריתת עצים ואחסון (שלד)

1. היקף ומונחים.

2. קטגוריות יומן ומטרות.

3. עילה משפטית והודעה.

4. סיווג ומזעור.

5. אוסף, תחבורה, אחסון (הצפנה, שלמות, תולעת).

6. גישה ותפקידים, ביקורת גישה.

7. שימור ומחיקה אוטומטית/אנונימיות.

8. העברה לצדדים שלישיים (DPA, SCC).

9. ניטור, SIEM, התראה, דיווח.

10. אירועים והודעות (כולל 72 שעות).

11. ד "ר/BCP, גיבויים והחלמה.

12. סקירה תקופתית (שנה/אם התהליכים משתנים).

15) בדיקת יישום (התחלה מהירה)

[ ] קח מלאי של כל מקורות הרישום ושדות PII; אפשר מיסוך ברמת SDK.

[ ] לאשר את מטריצת השמירה ולאוטומט TTL/אנונימיות.

[ ] הגדרת תולעת/חסינות ליומנים קריטיים ובקרת שלמות חשיש.

[ ] MTLS/TLS עבור סוכנים/אספנים; הצפנת במנוחה; מפתחות בקמ "ס, סיבוב.

[ ] SIEM/UEBA, התראות וספרי משחק; יומנים לוג גישה מטא.

[ ] DPIA לניטור התנהגותי/אנטי-פראוד; ליה היא אינטרסים חוקיים.

[ ] DPA עם כל המעבדים/עננים; בדיקת המיקום של נתונים ו SCC בשידור חוצה גבולות.

[ ] ד "ר תרגילים לשיקום בולי עץ ולמחיקה בגיבויים; דיווח.

עדכן את הודעת הפרטיות (סעיף העוסק ביומנים/מועדים) ובנהלים פנימיים לטיפול בבקשות מנבדקים.

המשך תקציר

GDPR דורש חוקיות, שקיפות, מזעור ולצירי זמן מוגבלים, ו-ISO 27001 דורש עקביות והשלכות: מדיניות, תפקידים, בקרה טכנית, אי-זמינות וניטור. צור מטריצת שימור, הזן מיסוך ופסאודונימיזציה, הצפן תחבורה/אחסון, השתמש ב-WORM וב-SIEM, הסיק את DPA והכין את DPIA - כך שביל כתב העת יישאר שימושי לביטחון וביקורת, מבלי להפוך למקור לסכנות רגולטוריות ומוניטין.