Крипто казино
Torrent Gear
GDPR/ISO 27001: Логин жана сактоо талаптары
1) Эмне үчүн маанилүү
Логилер жана базалар - бул жеке маалыматтар (IP, cookie-ID, device-ID, user-ID, жүрүм-турум окуялары). Демек, аларга: иштетүүнүн мыйзамдуулугу жана ачык-айкындуулугу, максатты жана мөөнөттөрдү чектөө, минималдаштыруу, тактык, бүтүндүк/купуялуулук, ошондой эле субъекттердин укуктары (GDPR) тиешелүү. ISO 27001 башкаруу жана техникалык көзөмөлдү кошот: Логин саясаты, мониторинг жүргүзүү, активдерди коргоо, жеткиликтүүлүктү башкаруу, камдоо, криптография жана өзгөрүүлөрдү башкаруу.
2) Укуктук негиздер жана максаттар (GDPR)
Логингдин максаттары: коопсуздук, инциденттерди иликтөө, мыйзамдарды аткаруу, финансылык аудит, фродго каршы күрөш.
Укуктук негиздер:- Legitimate interests - киберкоопсуздук, антифрод; кызыкчылыктардын тең салмактуулугун сынап көрүңүз.
- Legal obligation/contract - бухгалтерия, салык отчеттуулугу, AML/KYC-изи.
- Consent - аналитика/маркетинг үчүн гана, "катуу зарыл" security-логиндер үчүн эмес.
- Ачык-айкындуулук: Privacy Notice эскертип, алуучулардын логи/мөөнөттөрү/категориялары жөнүндө өзүнчө бөлүмүн бөлүп.
3) DPIA жана тобокелдик мамиле
DPIAны жүрүм-турумга масштабдуу мониторинг жүргүзүү (оюн окуялары, жүрүм-турум биометрикасы, антифрод профилдери). Сүрөттөп бериңиз: максаттар, көлөмдөр, тобокелдиктер, жумшартуучу чаралар (псевдонимдештирүү, ролдорго жетүү, кыска сактоо мөөнөтү, ачкычтарды өзүнчө сактоо).
4) Субъекттердин укуктары жана өзгөчөлүктөрү
Кирүү/көчүрмө: Логдордун категориялары жана мөөнөттөрү жөнүндө маалымат бериңиз; коопсуздук белгилерин ачыкка чыгарбаңыз.
Оңдоо/чектөө/каршылык: коопсуздук жана укуктук милдеттери үчүн суроо-талапты баалоо vs зарылдыгы.
Алып салуу: эгерде сактоо доолордон коргоо, мыйзамды аткаруу же инцидентти иликтөө үчүн зарыл болсо, өзгөчөлүктөргө жол берилет; чечимди жана кайра карап чыгуу мөөнөтүн бекитиңиз.
5) Сактоо мөөнөтү (retention) жана минималдаштыруу
Retenshen матрицасын бекитиңиз: эмне, кайда, эмне үчүн, мөөнөт, негиз, ээси ким, кайда четте калат.
Принциптери:- жогорку сезгич логдор үчүн кыска убакыт (IP/UA менен чийки суроолор, агрегатталбаган телеметрия).
- Агрегация жана псевдонимизациялоо үчүн узак мөөнөттүү аналитика (мисалы, IP ордуна хэш/токен).
- Автоматтык өчүрүү/таймери анонимизациялоо; "чексиз" логдорго тыюу салуу.
- Web Server Logs (IP, UA, жол) - 30-90 күн (коопсуздук/соода).
- Аудит-жол башкаруу иш-аракеттер - 1-3 жыл (коопсуздук/комплаенс).
- Төлөм транзакциялары (метадеректер) - 5-10 жыл (бухгалтердик эсеп/салыктар, жергиликтүү талаптар).
- KYC/AML артефакттары - юрисдикция мыйзамы боюнча (көбүнчө 5-7 жыл).
- Антифрод чүчүкулак - 6-24 ай.
6) ISO 27001: Логдор жана мониторинг талап кылынат (практика)
Логирлөө жана мониторинг жүргүзүү саясаты: окуяларды, көлөмдөрдү, деңгээлдерди, жоопкерчиликти, сактоону, талдоону, эскалацияны аныктаңыз.
Техникалык контролдоо (Логин):- Маанилүү окуяларды басып алуу (аутентификация/авторизация, укуктарды/конфигурацияларды өзгөртүү, маалыматтарга жетүү, критикалык транзакциялар, административдик аракеттер, коопсуздук каталары).
- Убакытты синхрондоштуруу (NTP, корголгон булак), убакыт зоналарын жана так белгилерди (миллисекунддар) сактоо.
- бүтүндүгүн коргоо: WORM-сактоо, өзгөрүлбөс индекстер, хэш-чынжыр/кол, кирүү көзөмөлү "гана кошуу".
- Айлана-чөйрөнү жана журналдарды бөлүү (prod/stage/dev), сырларды жана PIIлерди жылуулоо.
- SIEM/UEBA, корреляция окуялар, босоголор жана алерталар, ойнотмо боюнча жооп.
- Критикалык зоналар боюнча (администратор, төлөмдөр, DWHге кирүү) "кол менен" үзгүлтүксүз логиндерди карап чыгуу.
- Ролдору жана милдеттери: активдин ээси, журналдын ээси, МБ/комплаенс офицери, инциденттер процесси.
- Жашоо айлампасы: жыйноо → транспорт (TLS/mTLS) → сактоо (шифрлөө, сактоо класстары) → анализ → retenshen/алып салуу (алып салуу фактысын каттоо).
7) Маалыматтарды классификациялоо жана жеткиликтүүлүктү көзөмөлдөө
Маалымат класстары: Public/Internal/Confidential/Restricted (PII/каржы/KYC).
Жашыруу/редакциялоо саясаты: сезгич талааларды (PAN, CVV, сырсөздөр, белгилер) жокко чыгаруу.
RBAC/ABAC: минималдуу зарыл жеткиликтүүлүк, өзүнчө ролдору "китеп окуу" жана "башкаруу".
Журналдарга кирүү журналдары (метажурналдар): ким, качан, эмнеге кайрылды.
8) Крипто, ачкычтар жана транспорт
Которууда шифрлөө: TLS 1. 2+/1. 3, mTLS агенттер жана жыйноочу ортосунда, күбөлүк текшерүү.
Тынч шифрлөө: дисктер/объектти сактоо, KMS/HSM ачкычтары, ачкычтарды айлантуу, ар кандай маалымат класстары үчүн өзүнчө ачкычтар.
Сегментация: PII жана техникалык логдор үчүн өзүнчө бакеттер/индекстер.
9) Камдык көчүрмөлөрү, Offsite архиви жана калыбына келтирүү
Backup: тартиби, коддоо, калыбына контролдоо (үзгүлтүксүз DR-машыгуу), кайра жазуу/коддоо коргоо.
Оффсайт/көп аймак: локалдаштыруу/чек ара берүү талаптарын эске алуу менен (DPA, SCC, шайкештик).
Бирдиктүү мөөнөттөр: backaps retenshen "нөлгө" тукум алып салуу мөөнөтү болбошу керек; архивдердин экспирациясын автоматташтырыңыз.
10) Үчүнчү жактарга өткөрүп берүү (процессорлор)
DPA логикалык аналитика/булуттар/жыйноочулар менен: ролдору, субпроцессорлор, сактоо жайлары, коргоо чаралары, алып салуу мөөнөттөрү.
Трансчегаралык берүү: укуктук механизмдер (SCC ж.б.), техникалык чаралар (толук шифрлөө, псевдонимдештирүү).
Аудит жана отчеттуулук: аудит укугу, SOC-отчеттор/сертификаттар, кирүү журналдары.
11) Жөнүндө окуялар жана билдирүүлөр (GDPR)
Аныктоо жана бекитүү: SIEM-Алерт, окуя билети, тиешелүү блогдорду тоңдуруу (мыйзамдуу кармоо).
жеке маалыматтар олуттуу агып кеткен учурда жөнгө салуучуга билдирүүгө 72 саат; таасирди баалоо, билдирүүнүн курамы, чаралардын далили.
Post-Mortem: саясат/контролдоо корутундулары, Retenshen/Masking жаңыртуу.
12) типтүү каталар жана аларды алдын алуу үчүн кантип
Сезимтал талааларды (сырсөздөр, белгилер, PAN/CVV) → SDK/таңгак деңгээлинде жашыруу.
Түбөлүктүү technical-logs "кандай болгон күндө да" → TTL жана анонимизацияны коюңуз.
Бирдиктүү "супер-жетүү" SIEM → ролдорду бөлүшүү жана MFA кирет.
Unlimited prod/dev журналдар → бөлүштүрүү жана жеткиликтүүлүгүн чектөө.
Жок матрица retenshen жана автоматтык бөлүштүрүү → тобокелдиктер GDPR-айып жана ашыкча агып.
шифрлөө/экспирация жок Backaps → "түбөлүк" көчүрмөлөрү PII.
13) Retenshen Matrix (үлгү)
14) Логин жана сактоо саясаты (скелет)
1. Аймак жана терминдер.
2. Логдордун категориялары жана максаттары.
3. Укуктук негиздер жана билдирүү.
4. Классификация жана минимизация.
5. Жыйноо, транспорт, сактоо (шифрлөө, бүтүндүк, WORM).
6. Жеткиликтүүлүк жана ролдор, жеткиликтүүлүк аудити.
7. Retenshen жана автоматтык түрдө алып салуу/анонимдештирүү.
8. үчүнчү жактарга өткөрүп берүү (DPA, SCC).
9. Мониторинг, SIEM, alerting, отчеттуулук.
10. Инциденттер жана билдирүүлөр (анын ичинде 72 саат).
11. DR/BCP, backaps жана калыбына келтирүү.
12. Мезгил-мезгили менен кайра карап чыгуу (жыл сайын/процесстер өзгөргөндө).
15) Чек-тизме киргизүү (тез баштоо)
- Бардык сайттардын булактарын жана PII талааларын инвентаризациялоо; SDK денгээлде маскировкалоону күйгүзүү.
- Retenshen матрицасын бекитүү жана TTL/анонимизацияны автоматташтыруу.
- маанилүү журналдар жана хеш бүтүндүгүн контролдоо үчүн WORM/immutability орнотуу.
- mTLS/TLS агенттер/жыйноочулар үчүн; at-rest шифрлөө; KMS ачкычтары, айлануу.
- SIEM/UEBA, Алерт жана Playbook; журналдарга жетүүнүн метажурналдары.
- DPIA жүрүм-турум мониторинг/antifrod үчүн; LIA для legitimate interests.
- Бардык процессорлор/булуттар менен DPA; чек ара берүү боюнча маалыматтарды жана SCC жайгашкан текшерүү.
- DR-Логиндерди калыбына келтирүү жана backaps алып салуу боюнча окуу; отчеттуулук.
- Жаңылоо Privacy Notice (каттоо/мөөнөттөр жөнүндө бөлүм) жана субъекттердин суроо-талабын иштеп чыгуунун ички жол-жоболору.
Резюме
GDPR мыйзамдуулукту, ачык-айкындуулукту, минималдаштырууну жана чектелген мөөнөттөрдү талап кылат, ал эми ISO 27001 - системалуулук жана далилдүүлүк: саясат, ролдор, техникалык көзөмөл, өзгөрбөстүк жана мониторинг. Ретеншен матрицасын түзүңүз, маскировкалоону жана псевдонимдештирүүнү киргизиңиз, транспортту/кампаны шифрлеңиз, WORM жана SIEM колдонуңуз, DPAны түзүңүз жана DPIAны даярдаңыз - ошентип журналдын изи коопсуздук жана аудит үчүн пайдалуу бойдон калат, жөнгө салуучу жана репутациялык тобокелдиктердин булагы болуп калбастан.