क्रिप्टो कैसीनो
धार गियर
GDPR/ISO 27001: लॉग और डेटा भंडारण आवश्यकताएं
1) यह क्यों मायने रखता है
लॉग और डेटाबेस व्यक्तिगत डेटा (आईपी, कुकी-आईडी, डिवाइस-आईडी, उपयोगकर्ता-आईडी, व्यवहार संबंधी घटनाएं) हैं। इसका मतलब यह है कि वे प्रसंस्करण की वैधता और पारदर्शिता, उद्देश्य और समय की सीमा, न्यूनतम करना, सटीकता, अखंडता/गोपनीयता, साथ ही साथ विषयों के अधिकार (जीडीपीआर) के अधीन हैं। आईएसओ 27001 प्रबंधन और तकनीकी नियंत्रण जोड़ ता है: लॉगिंग नीति, निगरानी, परिसंपत्ति संरक्षण, पहुंच प्रबंधन, अतिरेक, क्रिप्टोग्राफी और परिवर्तन प्रबंधन।
2) कानूनी आधार और उद्देश्य (जीडीपीआर)
लॉगिंग गोल: सुरक्षा, घटना की जांच, कानूनों का कार्यान्वयन, वित्तीय ऑडिट, धोखाधड़ी के खिलाफ लड़ाई।
कानूनी आधार:- वैध हित - साइबर सुरक्षा, धोखाधड़ी विरोधी; ब्याज परीक्षण का एक संतुलन करें।
- कानूनी दायित्व/अनुबंध - लेखा, कर रिपोर्टिंग, एएमएल/केवाईसी ट्रेल।
- सहमति - केवल एनालिटिक्स/मार्केटिंग के लिए, "सख्ती से आवश्यक" सुरक्षा लॉग के लिए नहीं।
- पारदर्शिता: गोपनीयता सूचना में अधिसूचित करें, लॉग/समय सीमा/प्राप्तकर्ताओं की श्रेणियों के बारे में एक अलग अनुभाग का चयन करें।
3) डीपीआईए और जोखिम दृष्टिकोण
बड़े पैमाने पर व्यवहार निगरानी (गेमिंग इवेंट्स, बिहेवियरल बायोमेट्रिक्स, एंटी-फ्रॉड प्रोफाइल) के लिए डीपीआईए का संचालन करें। वर्णन करें: लक्ष्य, स्कोप, जोखिम, शमन उपाय (छद्म नाम, भूमिका द्वारा पहुंच, लघु शेल्फ जीवन, चाबियों का अलग भंडारण)।
4) विषयों और अपवादों के अधिकार
अभिगम/प्रतिलिपि: लॉग श्रेणियों और अवधि के बारे में जानकारी प्रदान करें; सुरक्षा हस्ताक्षर उजागर न करें।
सुधार/सीमा/आपत्ति: सुरक्षा और कानूनी कर्तव्यों के लिए अनुरोध बनाम अनुरोध का मूल्यांकन।
विलोपन: अपवादों की अनुमति दी जाती है यदि मुकदमों से बचाने के लिए भंडारण आवश्यक है, कानून का पालन करें या किसी घटना की जांच करें; निर्णय और संशोधन अवधि को रिकॉर्ड करें।
5) प्रतिधारण और न्यूनतम करना
रेटेंसचेन मैट्रिक्स को ठीक करें: क्या, कहां, क्यों, शब्द, आधार, कौन मालिक है, कहां अलग है।
सिद्धांत:- अत्यधिक संवेदनशील लॉग के लिए संक्षिप्त समय सीमा (आईपी/यूए, गैर-एकत्रित टेलीमेट्री के साथ कच्चे अनुरोध)।
- दीर्घकालिक एनालिटिक्स के लिए एकत्रीकरण और अलियासिंग (उदाहरण के लिए, आईपी के बजाय हैश/टोकन)।
- टाइमर द्वारा स्वचालित विलोपन/गुमनामी; "सदा" लॉग का निषेध।
- वेब सर्वर लॉग (आईपी, यूए, पथ) - 30-90 दिन (सुरक्षा/अनुरेखण)।
- व्यवस्थापक कार्यों का ऑडिट ट्रेल - 1-3 साल (सुरक्षा/अनुपालन)।
- भुगतान लेनदेन (मेटाडेटा) - 5-10 वर्ष (लेखा/कर, स्थानीय आवश्यकताएं)।
- KYC/AML कलाकृतियाँ - अधिकार क्षेत्र के कानून द्वारा (अक्सर 5-7 वर्ष)।
- एंटीफ्रॉड सुविधाएँ - 6-24 महीने। आवश्यकता के नियमित पुनर्मूल्यांकन के साथ।
6) आईएसओ 27001: लॉग और मॉनिटरिंग के लिए क्या आवश्यक है (अभ्यास)
लॉगिंग और मॉनिटरिंग नीति: घटनाओं, संस्करणों, स्तरों, जिम्मेदारियों, भंडारण, विश्लेषण, वृद्धि को परिभाषित करें।
तकनीकी नियंत्रण (लॉगिंग):- महत्वपूर्ण घटनाओं (प्रमाणीकरण/प्राधिकरण, अधिकार/कॉन्फिग परिवर्तन, डेटा अभिगम, महत्वपूर्ण लेनदेन, व्यवस्थापक कार्रवाई, सुरक्षा त्रुटियां)
- समय तुल्यकालन (एनटीपी, संरक्षित स्रोत), समय क्षेत्र और सटीक लेबल (मिलीसेकंड) संग्रहीत करें।
- अखंडता संरक्षण: WORM स्टोर, अपरिवर्तनीय इंडेक्स, हैश चेन/हस्ताक्षर, ऐड-ओनली एक्सेस कंट्रोल।
- वातावरण और लॉग का पृथक्करण (prod/stage/dev), रहस्यों का अलगाव और लॉग में PII।
- SIEM/UEBA, घटना सहसंबंध, थ्रेसहोल्ड और अलर्ट, प्लेबुक प्रतिक्रिया।
- महत्वपूर्ण क्षेत्रों (व्यवस्थापक, भुगतान, DWH तक पहुंच) के लिए नियमित लॉग समीक्षा "मैन्युअल"
- भूमिका और जिम्मेदारियां: एसेट ओनर, जर्नल ओनर, आईएस/अनुपालन अधिकारी, हादसा प्रक्रिया।
- लॉग लाइफ चक्र: संग्रह → परिवहन (TLS/mTLS) → भंडारण (एन्क्रिप्शन, भंडारण कक्षाएं) → विश्लेषण → प्रतिधारण/विलोपन (विलोपन के तथ्य को लॉग करें)।
7) डेटा वर्गीकरण और पहुंच नियंत्रण
डेटा कक्षाएं सार्वजनिक/आंतरिक/गोपनीय/प्रतिबंधित (पीआईआई/वित्त/केवाईसी) हैं।
मास्किंग/संशोधन नीति: संवेदनशील क्षेत्रों (पैन, सीवीवी, पासवर्ड, टोकन) को बाहर करें।
RBAC/ABAC: न्यूनतम आवश्यक पहुंच, अलग-अलग भूमिकाएँ "रीडिंग लॉग" और "प्रबंधन"।
लॉग एक्सेस लॉग (मेटाजोरनल्स): कौन, कब, क्या पहुँचा।
8) क्रिप्टोग्राफी, कुंजी और परिवहन
ट्रांसमिशन एन्क्रिप्शन: टीएलएस 1। 2+/1. 3, एजेंटों और कलेक्टर के बीच एमटीएलएस, प्रमाणपत्र सत्यापन।
विश्राम पर एन्क्रिप्शन: डिस्क/ऑब्जेक्ट भंडारण, KMS/HSM में कुंजी, कुंजी घुमाव, विभिन्न डेटा वर्गों के लिए अलग कुंजी।
विभाजन: पीआईआई के लिए और तकनीकी लॉग के लिए अलग बाल्टी/सूचकांक।
9) बैकअप, ऑफसाइट आर्काइव और रिकवरी
बैकअप: शेड्यूल, एन्क्रिप्शन, रिकवरी कंट्रोल (नियमित डीआर एक्सरसाइज), ओवरराइट/रैंसमवेयर प्रोटेक्शन।
ऑफसाइट/बहु-क्षेत्र: स्थानीयकरण/सीमा पार संचरण (डीपीए, एससीसी, पर्याप्तता) की आवश्यकताओं को ध्यान में रखते हुए।
वर्दी शब्द: बैकअप में प्रतिधारण को बिक्री में विलोपन की शर्तों को "शून्य" नहीं करना चाहिए; स्वचालित संग्रह समाप्ति।
10) तीसरे पक्ष (प्रोसेसर) को स्थानांतरित करें
लॉग एनालिटिक्स/क्लाउड/कलेक्टर प्रदाताओं के साथ डीपीए: भूमिकाएं, उप-प्रोसेसर, भंडारण स्थान, सुरक्षा उपाय, विलोपन समय सीमा।
सीमा पार संचरण: कानूनी तंत्र (एससीसी, आदि), तकनीकी उपाय (एंड-टू-एंड एन्क्रिप्शन, छद्म नाम)।
ऑडिट और रिपोर्टिंग: ऑडिट का अधिकार, एसओसी रिपोर्ट/प्रमाणपत्र, एक्सेस लॉग।
11) घटनाओं और सूचनाओं के बारे में (जीडीपीआर)
पता लगाना और निर्धारण: SIEM अलर्ट, घटना टिकट, प्रासंगिक लॉग की ठंड (कानूनी पकड़)।
व्यक्तिगत डेटा के महत्वपूर्ण रिसाव के मामले में नियामक को सूचित करने के लिए 72 घंटे; प्रभाव मूल्यांकन, अधिसूचना की संरचना, उपायों के प्रमाण।
पोस्टमार्टम: नीति/नियंत्रण के लिए आउटपुट, अपडेट reteschen/masking।
12) विशिष्ट गलतियाँ और उनसे कैसे बचें
संवेदनशील क्षेत्र (पासवर्ड, टोकन, पैन/सीवीवी) → एसडीके/रैपर स्तर पर मुखौटा लॉग करें।
स्थायी तकनीकी लॉग "सिर्फ मामले में" - टीटीएल और गुमनामी डालते हैं।
SIEM के लिए एकल "सुपर एक्सेस" → अलग-अलग भूमिकाएँ और MFA सक्षम करें।
अविभाजित prod/dev logs पोस्ट और प्रतिबंधित पहुँच.
एक प्रतिधारण मैट्रिक्स और स्वचालित डेलीटर की कमी - जीडीपीआर जुर्माना और अत्यधिक लीक के जोखिम।
एन्क्रिप्शन/समाप्ति के बिना बैकअप - पीआईआई की "अनन्त" प्रतियां।
13) रिटेंसचेन मैट्रिक्स (नमूना)
14) लॉगिंग और भंडारण नीति (कंकाल)
1. स्कोप और शर्तें।
2. लॉग श्रेणियां और लक्ष्य।
3. कानूनी आधार और नोटिस।
4. वर्गीकरण और न्यूनतम करना।
5. संग्रह, परिवहन, भंडारण (एन्क्रिप्शन, अखंडता, WORM)।
6. पहुंच और भूमिकाएँ, एक्सेस ऑडिटिंग।
7. प्रतिधारण और स्वचालित विलोपन/गुमनामी।
8. तीसरे पक्ष (डीपीए, एससीसी) को स्थानांतरित करें।
9. निगरानी, SIEM, अलर्ट, रिपोर्टिंग।
10. घटनाएं और सूचनाएं (72 घंटे सहित)।
11. डीआर/बीसीपी, बैकअप और रिकवरी।
12. आवधिक समीक्षा (वार्षिक/यदि प्रक्रियाएं बदलती हैं)।
15) कार्यान्वयन चेकलिस्ट (त्वरित शुरुआत)
- सभी लॉग स्रोतों और पीआईआई क्षेत्रों का जायजा लें; एसडीके स्तर मास्किंग सक्षम करें.
- प्रतिधारण मैट्रिक्स को मंजूरी दें और टीटीएल/गुमनामी को स्वचालित करें।
- महत्वपूर्ण लॉग और हैश अखंडता नियंत्रण के लिए WORM/प्रतिरक्षा कॉन्फ़िगर करें।
- एजेंटों/कलेक्टरों के लिए mTLS/TLS; आराम से एन्क्रिप्शन; केएमएस, रोटेशन में कुंजी।
- SIEM/UEBA, अलर्ट और प्लेबुक; लॉग एक्सेस मेटा लॉग।
- व्यवहार निगरानी/एंटीफ्राड के लिए डीपीआईए; LIA - वैध हित।
- सभी प्रोसेसर/बादलों के साथ डीपीए; सीमा पार संचरण में डेटा और एससीसी के स्थान की जाँच कर रहा है।
- लॉग को बहाल करने और बैकअप में हटाने के लिए डीआर अभ्यास; रिपोर्टिंग।
- गोपनीयता सूचना (लॉग/डेडलाइन के बारे में अनुभाग) और विषयों से प्रसंस्करण अनुरोधों के लिए आंतरिक प्रक्रियाएं अपडेट करें।
सारांश फिर से शुरू करें
जीडीपीआर को वैधता, पारदर्शिता, न्यूनतम और सीमित समय सीमा की आवश्यकता होती है, और आईएसओ 27001 के लिए स्थिरता और प्रोविबिलिटी की आवश्यकता होती है: नीति, भूमिकाएं, तकनीकी नियंत्रण, अपरिवर्तनीयता और निगरानी। एक प्रतिधारण मैट्रिक्स बनाएं, मास्किंग और छद्म नाम दर्ज करें, एन्क्रिप्ट परिवहन/भंडारण, WORM और SIEM का उपयोग करें, DPA निष्कर्ष निकालें और DPIA तैयार करें - इस तरह।