Crypto Casino
Torrent Gear
GDPR/ISO 27001: cerințe privind jurnalul și stocarea datelor
1) De ce contează
Jurnalele și bazele de date sunt date personale (IP, cookie-ID, device-ID, user-ID, evenimente comportamentale). Aceasta înseamnă că acestea sunt supuse: legalității și transparenței prelucrării, limitării scopului și timpului, minimizării, preciziei, integrității/confidențialității, precum și drepturilor subiecților (GDPR). ISO 27001 adaugă gestionarea și controalele tehnice: politica de logare, monitorizare, protecția activelor, gestionarea accesului, redundanță, criptografie și managementul schimbărilor.
2) Temeiul juridic și scopurile (GDPR)
Obiectivele exploatării forestiere: securitate, investigarea incidentelor, implementarea legilor, audit financiar, combaterea fraudei.
Temei juridic:- Interese legitime - securitate cibernetică, antifraudă; face un test de echilibru de interes.
- Obligație legală/contract - contabilitate, raportare fiscală, traseu AML/KYC.
- Consimțământul - numai pentru analiză/marketing, nu pentru jurnalele de securitate „strict necesare”.
- Transparență: notificați în Notificarea de confidențialitate, selectați o secțiune separată despre jurnale/termene/categorii de destinatari.
3) DPIA și abordarea riscului
Efectuați DPIA pentru monitorizarea comportamentului pe scară largă (evenimente de joc, biometrie comportamentală, profile antifraudă). Descrieți: scopuri, scopuri, riscuri, măsuri de atenuare (pseudonimizare, acces după rol, durată scurtă de valabilitate, stocare separată a cheilor).
4) Drepturile subiecților și excepțiile
Accesați/copiați: furnizați informații despre categoriile și perioadele de jurnal; Nu expuneţi semnăturile de securitate.
Corecție/limitare/obiecție: evaluarea cererii față de nevoia de obligații legale și de siguranță.
Ștergere: excepțiile sunt permise dacă stocarea este necesară pentru a proteja împotriva proceselor, pentru a respecta legea sau pentru a investiga un incident; Înregistrați decizia și perioada de revizuire.
5) Retenție și minimizare
Fixați matricea Retenschen: ce, unde, de ce, termen, bază, cine este proprietarul, unde este înstrăinat.
Principii:- Termene scurte pentru busteni foarte sensibili (cereri brute cu IP/UA, telemetrie neagregata).
- Agregare și aliasing pentru analize pe termen lung (de exemplu, hash/token în loc de IP).
- Ștergere automată/anonimizare prin cronometru; interzicerea jurnalelor „perpetue”.
- Jurnalele serverelor web (IP, UA, cale) - 30-90 de zile (securitate/urmărire).
- Pista de audit a actiunilor admin - 1-3 ani (securitate/conformitate).
- Tranzacții de plată (metadate) - 5-10 ani (contabilitate/taxe, cerințe locale).
- Artefacte KYC/AML - prin legea jurisdicției (adesea 5-7 ani).
- Caracteristici antifrod - 6-24 luni. cu reevaluarea regulată a necesității.
6) ISO 27001: ceea ce este necesar pentru jurnale și monitorizare (practică)
Politica de logare și monitorizare: definirea evenimentelor, volumelor, nivelurilor, responsabilităților, stocării, analizei, escaladărilor.
Controale tehnice (logare):- Capturarea unor evenimente semnificative (autentificare/autorizare, modificări ale drepturilor/configurării, acces la date, tranzacții critice, acțiuni de administrare, erori de securitate).
- Sincronizarea timpului (NTP, sursă protejată), stocarea fusurilor orare și a etichetelor exacte (milisecunde).
- Protecție împotriva integrității: magazine WORM, indici imuabili, lanțuri/semnături hash, control acces add-only.
- Separarea mediilor și jurnalelor (prod/stage/dev), izolarea secretelor și PII în jurnale.
- SIEM/UEBA, corelație eveniment, praguri și alerte, răspuns playbook.
- Recenzii regulate de jurnal „manual” pentru zonele critice (admin, plăți, acces la DWH).
- Roluri și responsabilități: Proprietar de active, Proprietar de jurnal, IS/Responsabil de conformitate, Proces incident.
- Ciclu de viață jurnal: colectare → transport (TLS/mTLS) → stocare (criptare, clase de stocare) → analiză → retenție/ștergere (jurnal faptul ștergerii).
7) Clasificarea datelor și controlul accesului
Clasele de date sunt publice/interne/confidențiale/restricționate (PII/finanțe/KYC).
Politica de mascare/revizuire: Excludeți câmpurile sensibile (PAN, CVV, parole, jetoane).
RBAC/ABAC: acces minim necesar, roluri separate „jurnale de lectură” și „management”.
Jurnalele de acces jurnal (metajurnals): cine, când, ce a accesat.
8) Criptografie, chei și transport
Criptare transmisie: TLS 1. 2+/1. 3, mTLS între agenți și colector, validarea certificatului.
Criptare în repaus: discuri/stocare obiect, chei în KMS/HSM, rotație cheie, chei separate pentru diferite clase de date.
Segmentare: Găleți/indici separați pentru PII și pentru jurnalele tehnice.
9) Backup-uri, arhivă offsite și recuperare
Backup-uri: program, criptare, control de recuperare (exerciții DR regulate), suprascriere/protecție ransomware.
Offsite/multi-regiune: luând în considerare cerințele de localizare/transmitere transfrontalieră (DPA, SCC, adecvare).
Termeni uniformi: păstrarea în backup-uri nu ar trebui să „zero” termenii ștergerilor din vânzare; automatizarea expirării arhivelor.
10) Transferul către terțe părți (procesoare)
DPA cu furnizori de log analytics/cloud/colector: roluri, sub-procesoare, locații de stocare, măsuri de protecție, termene de ștergere.
Transmiterea transfrontalieră: mecanisme juridice (SCC etc.), măsuri tehnice (criptare end-to-end, pseudonimizare).
Audit și raportare: dreptul la audit, rapoarte/certificări SOC, jurnale de acces.
11) Despre incidente și notificări (GDPR)
Detectarea și fixarea: alerte SIEM, bilet incident, înghețarea jurnalelor relevante (cală legală).
72 de ore pentru a notifica autoritatea de reglementare în cazul unor scurgeri semnificative de date cu caracter personal; evaluarea impactului, componența notificării, dovada măsurilor.
Post-mortem: ieșiri la politică/controale, actualizare reteschen/mascare.
12) Greșeli tipice și cum să le evitați
Câmpuri sensibile la jurnal (parole, jetoane, PAN/CVV) → mască la nivelul SDK/wrapper.
Jurnalele tehnice perpetue „doar în cazul în care” → pus TTL și anonimizare.
Un singur „super acces” la SIEM → roluri separate și permite MFA.
Jurnalele prod/dev nedivizate → posta și restricționa accesul.
Lipsa unei matrice de retenție și a delitoarelor automate → riscurile amenzilor GDPR și ale scurgerilor excesive.
Copii de rezervă fără criptare/expirare → copii „eterne” ale PII.
13) Retenschen matrice (probă)
14) Politica de logare și stocare (schelet)
1. Domeniul de aplicare și termenii.
2. Categorii de jurnal și obiective.
3. Temeiuri legale şi notificare.
4. Clasificare și minimizare.
5. Colectare, transport, depozitare (criptare, integritate, WORM).
6. Acces și roluri, audit de acces.
7. Retenție și ștergere automată/anonimizare.
8. Transferul către terți (DPA, SCC).
9. Monitorizare, SIEM, alertă, raportare.
10. Incidente și notificări (inclusiv 72 de ore).
11. DR/BCP, copii de rezervă și de recuperare.
12. Revizuire periodică (anual/dacă se schimbă procesele).
15) Lista de verificare a implementării (start rapid)
- Faceți un bilanț al tuturor surselor de jurnal și al câmpurilor PII; Activați mascarea la nivel SDK.
- Aprobați matricea de păstrare și automatizați TTL/anonimizare.
- Configurați WORM/imunitate pentru jurnalele critice și controlul integrității hash.
- mTLS/TLS pentru agenți/colectori; criptarea în repaus; chei în KMS, rotaţie.
- SIEM/UEBA, alerte și playbook-uri; jurnal de acces meta jurnale.
- DPIA pentru monitorizare comportamentală/antifraudă; LIA для interese legitime.
- DPA cu toate procesoarele/nori; verificarea locației datelor și a SCC în transmiterea transfrontalieră.
- Exerciții DR pentru restaurarea jurnalelor și ștergerea în backup-uri; raportarea.
- Actualizați Notificarea de confidențialitate (secțiune despre jurnale/termene limită) și procedurile interne pentru procesarea cererilor de la subiecți.
Rezumat reluare
GDPR necesită legalitate, transparență, minimizare și termene limitate, iar ISO 27001 necesită coerență și provabilitate: politică, roluri, controale tehnice, imutabilitate și monitorizare. Formați o matrice de păstrare, introduceți mascarea și pseudonimizarea, criptați transportul/stocarea, utilizați WORM și SIEM, încheiați DPA și pregătiți DPIA - în acest fel traseul jurnalului va rămâne util pentru securitate și audit, fără a deveni o sursă de riscuri de reglementare și reputație.