Կրիպտո կազինո
Torrent Gear
GDPR/CS27001: Լոգարանների և տվյալների պահպանման պահանջները
1) Ինչո՞ ւ է դա կարևոր
Լոգներն ու հիմքերը անձնական տվյալներ են (IP, cookie-ID, device-ID, user-ID, վարքագծային իրադարձություններ)։ Այսպիսով, դրանք տարածվում են 'վերամշակման օրինականությունը և թափանցիկությունը, նպատակների սահմանափակումը, նվազեցումը, ճշգրտությունը, ամբողջականությունը/գաղտնիությունը, ինչպես նաև սուբյեկտների իրավունքները (GDPR)։ III 27001 ավելացնում է կառավարչական և տեխնոլոգիական վերահսկումները 'տրամաբանության քաղաքականությունը, կարգավորումը, ակտիվների պաշտպանությունը, հասանելի կառավարումը, պահեստավորումը, գաղտնագրումը և փոփոխությունների կառավարումը։
2) Իրավական հիմքը և նպատակները (GDPR)
Լոգանքի նպատակները ՝ անվտանգությունը, հետազոտության հետազոտությունը, օրենքների կատարումը, ֆինանսական աուդիտը, ֆրոդի դեմ պայքարը։
Իրավական հիմքերը
Legitimate interes.ru - կիբերանվտանգություն, հակաֆրոդ; կատարեք հետաքրքրությունների հավասարակշռության թեստ։
Legal obligation/www.ract - հաշվապահություն, հարկային հաշվետվություն, AML/KYC հետք։- Consent-ը միայն վերլուծաբանների/մարքեթինգի համար է, ոչ թե «խստորեն անհրաժեշտ» տեղեկատվական-լոգարանների համար։
- Թափանցիկությունը 'տեղեկացրեք Privacy Notice-ում, առանձնացրեք առանձին բաժին լոգայի/ամսաթվերի մասին։
3) DPIA և ռիսկի մոտեցում
Իրականացրեք DPIA-ը վարքի մեծ մոնիտորինգի համար (խաղային իրադարձություններ, վարքագծային կենսաչափություն, հակաֆրոդ պրոֆիլներ)։ Նշեք ՝ նպատակներ, ծավալներ, ռիսկեր, մեղմացման միջոցներ (կեղծանուններ, դերերի հասանելիություն, պահեստավորման կարճ ժամկետներ, առանձին պահեստավորում)։
4) Սուբյեկտների և բացառությունների իրավունքները
Հասանելիությունը/պատճենը 'տեղեկատվություն տվեք լոգարանների և ժամանակահատվածների կատեգորիաների մասին։ մի բացահայտեք անվտանգության ազդանշանները։
Ուղղումը/սահմանափակումը/առարկությունը 'vs հարցման գնահատումը անվտանգության և իրավական պարտականությունների համար։
Հեռացում ՝ բացառություններ կան, եթե պահպանումը անհրաժեշտ է դատական հայցերից պաշտպանվելու, օրենքի կատարման կամ հետաքննության համար։ արձանագրել լուծումը և վերանայման ժամանակը։
5) Պահեստավորման (retention) և նվազագույնի
Գրանցեք ռետենշենի մատրիցը, որտեղ, ինչու, ժամանակը, հիմքը, թե ով է սեփականատերը, որտեղ է օտարվում։- Սկզբունքները
- Ագրեգացիան և կեղծանունացումը երկարաժամկետ վերլուծության համար (օրինակ, հեշ/տոկեն IP-ի փոխարեն)։
- Ավտոմատ հեռացում/անանուն թայմերի միջոցով; արգելել «անսահմանափակ» լոգանքները։
Օրինակ (կենտրոններ, հարմարեցրեք իրավասության տակ/կարգավորիչ)
Վեբ սերվերի լոգները (IP, UA, ճանապարհը) 30-90 օր է (անվտանգություն/թրեյսինգ)։
Adit-trail admin-վիրահատությունները 1-3 տարի են (անվտանգությունը/կոմպլենսը)։
Վճարումների գործարքները (մետատվյալներ) հինգ-10 տարի են (ծափահարում/հարկեր, տեղական պահանջներ)։
KYC/AML-արտեֆակտները իրավասության օրենքով (հաճախ 5-7 տարի)։
Անտիֆրոդ ֆիչին 6-24 մեզ է, որի կարիքը մեծ է։
6) III 27001։ Ի՞ նչ է պահանջվում լոգարանների և մոնիտորինգի համար (պրակտիկա)
Լոգիստիկայի և մոնիտորինգի քաղաքականությունը 'ռուսական իրադարձություններ, ծավալներ, մակարդակներ, պատասխանատվություն, պահպանում, վերլուծություն, էսկալացիա։
Տեխնոլոգիական վերահսկում (տրամաբանություն)
Կարևոր իրադարձությունների գրավումը (վավերացում/հեղինակային, իրավունքների/եզրերի փոփոխությունը, տվյալների հասանելիությունը, քննադատական գործարքները, ադմինի գործողությունները, անվտանգության սխալները)։
Ժամանակի համաժամացումը (NTP, պաշտպանված աղբյուրը), պահեք թայմ գոտիները և ճշգրիտ պարամետրերը (millicunds)։
Ամբողջականության պաշտպանությունը 'WORM-2019, անփոփոխ ինդեքսներ, ծանր շղթաներ/ստորագրություններ, հասանելիության վերահսկողություն «միայն ավելացման»։
Մեդիայի և ամսագրերի բաժանումը (108/stage/dev), գաղտնիքների մեկուսացումը և PII լոգարաններում։
Ակտիվությունների իրականացումը
SIEM/UEBA-ը, իրադարձությունների, շեմերի և ալերտների հարաբերակցությունը, պլեյբուսների արձագանքը։- Նշված են «ձեռքով» լոգարանների ակնարկները կրիտիկական գոտիներով (ադմինկա, վճարումներ, MPH հասանելիություն)։
- Դերերն ու պարտականությունները 'ակտիվի սեփականատերը, ամսագրի սեփականատերը, ԻԲ/կոմպլանսի սպա, մրցույթի գործընթացը։
- Կյանքի ցիկլը 'ռուսական տրանսպորտի հավաքումը (TFC/mTRK) ռուսական պահպանումը (կոդավորումը, պահեստավորման դասերը) բացատրում է ռետենշենի/հեռացման վերլուծությունը (պրոտոկոլիզացիայի փաստը)։
7) Տվյալների դասակարգումը և հասանելիության վերահսկումը
Տվյալների դասարանները ՝ Public/Ental/Delidential/Restricted (PII/ֆինանսներ/KYC)։- Դիմակավորման քաղաքականությունը/2019 'բացառեք զգայուն դաշտերը (PAN, CVV, գաղտնաբառերը, հոսանքները)։
- RBAC/ABAC-ը նվազագույն անհրաժեշտ հասանելիություն է, առանձին դերեր «լոգարանների կարդալը» և «կառավարումը»։
- Ամսագրերի հասանելիության ամսագրերը (metazurnals) 'ով, երբ ինչ-որ բան էր անում։
8) Կրիպտոգրաֆիա, բանալիներ և տրանսպորտներ
Փոխանցման ընթացքում կոդավորումը ՝ TFC 1։ 2+/1. 3, mTLS-ը գործակալների և կոլեկցիոների միջև, հավաստագրերի ստուգում։
Կոդավորումը հանգույցի մեջ 'սկավառակներ/օբյեկտի պահեստ, բանալիներ KFC/HSM, կոդավորման ռոտացիա, տվյալների տարբեր դասարանների համար առանձին բանալիներ։
Սեգմենտացիան 'PII-ի և տեխնոլոգիական լոգարանների համար առանձին տանկեր/ինդեքսներ։
9) Պահեստային պատճենները, օֆսայթ արխիվը և վերականգնումը
Բեքապներ ՝ 108, ծածկագրում, վերականգնման վերահսկում (DR-ուսմունքներ), պաշտպանություն վերաշարադրումից/ծածկագրիչներից։
Օֆսայթ/մուլտֆիլմ-տարածաշրջանը 'հաշվի առնելով պարամետրերի/ստացիոնար փոխանցման պահանջները (DPA, SCC, համարժեք)։
Միակ ժամկետն այն է, որ Բեքապներում ռետենշենը չպետք է «զրպարտի» երկարացման ժամկետները։ ավտոմատացնել արխիվների էքսպորտը։
10) Երրորդ դեմքերի փոխանցումը (108)
DPA-ն լոգ-վերլուծության/ամպերի/կոլեկցիոներների պրովայդերների հետ 'դերեր, ենթահամակարգեր, պահեստավորման վայրեր, պաշտպանության միջոցներ, վճարման ժամկետներ։
Հիբրիդային փոխանցումը 'իրավաբանական մեխանիզմներ (SCC և այլն), տեխնոլոգիական միջոցներ (կոդավորման, կեղծանունացման միջոցով)։
Աուդիտ և հաշվետվություն 'աուդիտի իրավունք, SOC զեկույցներ/հավաստագրեր, հասանելիության ամսագրեր։
11) Պատահականության և ծանուցման մասին (GDPR)
Հայտնաբերումը և ամրագրումը 'SIEM-alerts, ticet, ռելեվանտային լոգարանների սառեցում (legal hold)։- 72 ժամ կարգավորիչի ծանուցման համար անձնական տվյալների զգալի արտահոսքի ժամանակ։ գնահատումը, ծանուցման կազմը, միջոցառումների ապացույցը։
- Post Mortem 'եզրակացություններ քաղաքականության մեջ/վերահսկում, ռետենշենի/դիմակավորման նորարարություն։
12) Բնորոշ սխալներ և ինչպես խուսափել դրանցից
Զգայուն դաշտերի տրամաբանությունը (գաղտնաբառեր, հոսանքներ, PAN/CVV) բացատրվում է SDK/ծածկույթի մակարդակում։
Անսահմանափակ մետալիկ-լոգները «ամեն դեպքում» նշում են TTL-ը և անանուն։- SIEM-ի միակ «սուպեր հասանելիությունը» կիսեք դերերը և միացրեք MFA-ը։
- Բաժանված կոդերը/dev ամսագրերը բացատրում են տարբերել և սահմանափակել հասանելիությունը։
- Ռետենշենի և ավտոմատ բաժանությունների մատրիցների բացակայությունը բացատրում է GDPR տուգանքների և ավելցուկ արտահոսքերի ռիսկերը։
- Առանց կոդավորման/էքսպիրացիայի, PII-ի «հավերժական» պատճենները։
13) Ռետենշենի մատրիցը (օրինակ)
14) Տրամաբանության և պահպանման քաղաքականությունը (կմախքը)
1. Տարածքը և տերմինները։
2. Լոգարանների և նպատակների կատեգորիաները։
3. Իրավական հիմքերը և ծանուցումները։
4. Դասակարգումը և նվազեցումը։
5. Հավաքումը, տեղափոխությունը, պահպանումը (կոդավորումը, ամբողջականությունը, WORM)։
6. Հասանելիություն և դերեր, մուտքի աուդիտ։
7. Retenshen և ավտոմատ հեռացում/անանուն։
8. Երրորդ դեմքերի փոխանցումը (DPA, SCC)։
9. Մոսկվա, SIEM, alerting, հաշվետվություն։
10. Միջադեպերը և ծանուցումները (ներառյալ 72 ժամ)։
11. DR/BCP, bekaps և վերականգնումը։
12. Պարբերական ստանդարտը (ամեն տարի/գործընթացների փոփոխության ժամանակ)։
15) Ներդրման թուղթ (արագ սկիզբը)
- Արիստարիզացրեք լոգարանների բոլոր աղբյուրները և PII-դաշտերը։ միացրեք դիմադրությունը MSK մակարդակում։
- Հաստատեք ռետենշենի մատրիցը և ավտոմատիզացրեք TTL/անունիզացիան։
- Patte WORM/immutability քննադատական ամսագրերի և hash-վերահսկման համար։
- mTSA/TSA գործակալների/կոլեկցիոներների համար; կոդավորումը at-rest; բանալիներ KHL-ում, ռոտացիա։
- SIEM/UEBA, ալտերտեր և պլեյբուսներ; metazurnals հասանելիություն ամսագրերին։
- DPIA վարքագծային մոնիտորինգի/հակաֆրոդի համար; LIA для legitimate interests.
- DPA բոլոր պրոցեսորներով/ամպերով; տվյալների և SCC տեղանքի ստուգումը ստացիոնար փոխանցման ժամանակ։
- DR ուսուցումները լոգարիթմների վերականգնման և բեքապների հեռացման մասին. հաշվետվություն։
- Թարմացրեք Privacy Notice-ը (Loga/ամսաթիվը) և առարկաների հարցումների ներքին ընթացակարգերը։
Ռեզյումե
GDPR-ը պահանջում է կայունություն, թափանցիկություն, նվազագույնի և սահմանափակ դեղամիջոցներ, իսկ CSO 27001-ը համակարգային և ապացուցված է 'քաղաքականություն, դերեր, տեխնոլոգիական վերահսկում, անփոփոխ և կայունություն։ Ձևացրեք ռետենշենի մատրիցը, մուտքագրեք դիմակներ և կեղծանուններ, ծածկագրեք տրանսպորտը/լուծումը, օգտագործեք WORM և SIEM-ը, մուտքագրեք DPA-ը և պատրաստեք DPIA-ը, այնպես որ ամսագրի հետքը օգտակար լինի անվտանգության և կայունության համար, առանց դարձնելու կարգավորող և հեղինակավոր ռիսկերի աղբյուրը։