GDPR/ISO 27001: талабот ба сабти ном ва нигоҳдории маълумот

1) Чаро ин муҳим аст

Сабтҳо ва пойгоҳи додаҳо маълумоти шахсӣ мебошанд (IP, cookie-ID, дастгоҳ-ID, корбар-ID, рӯйдодҳои рафторӣ). Ин маънои онро дорад, ки онҳо бояд қонунӣ бошанд: қонуният ва шаффофияти коркард, маҳдудияти мақсад ва вақт, ҳадди аққал, дақиқӣ, якпорчагӣ/махфият, инчунин ҳуқуқҳои субъектҳо (GDPR). ISO 27001 назорати идоракунӣ ва техникиро илова мекунад: сиёсати воридшавӣ, мониторинг, ҳифзи дороиҳо, идоракунии дастрасӣ, ихтисор, криптография ва идоракунии тағирот.

2) Асосҳои ҳуқуқӣ ва мақсадҳо (GDPR)

Ҳадафҳои сабти ном: амният, таҳқиқи ҳодисаҳо, иҷрои қонунҳо, аудити молиявӣ, мубориза бо қаллобӣ.

Асосҳои ҳуқуқӣ:

Манфиатҳои қонунӣ - киберамният, зидди қаллобӣ; санҷиши тавозуни фоизҳоро анҷом диҳед.
Ӯҳдадории ҳуқуқӣ/шартнома - баҳисобгирӣ, ҳисоботи андоз, пайроҳаи AML/KYC.
Ризоият - танҳо барои таҳлил/маркетинг, на барои сабтҳои "қатъии зарурӣ".
Шаффофият: дар огоҳинома дар бораи дахолатнопазирӣ огоҳ кунед, бахши алоҳидаро дар бораи гузоришҳо/мӯҳлатҳо/категорияҳои гирандагон интихоб кунед.

3) DPIA ва равиши хатар

Гузаронидани DPIA барои мониторинги миқёси рафтор (рӯйдодҳои бозӣ, биометрияи рафторӣ, профилҳои зидди қаллобӣ). Тавсиф: ҳадафҳо, миқёс, хатарҳо, чораҳои сабуккунанда (псевдонимизатсия, дастрасӣ ба нақш, мӯҳлати кӯтоҳ, нигоҳдории алоҳидаи калидҳо).

4) Ҳуқуқҳои субъектҳо ва истисноҳо

Дастрасӣ/нусхабардорӣ: маълумот дар бораи категорияҳо ва давраҳо; Имзоҳои амниятиро фош накунед.

Ислоҳ/маҳдудият/эътироз: арзёбии дархост ва зарурати бехатарӣ ва ӯҳдадориҳои ҳуқуқӣ.

Нест кардан: истисноҳо иҷозат дода мешаванд, агар нигоҳдорӣ барои муҳофизат аз даъвоҳо, риояи қонун ё таҳқиқи ҳодиса зарур бошад; Қарор ва давраи ислоҳотро сабт кунед.

5) Нигоҳдорӣ ва ҳадди аққал

Матритсаи Retenschen-ро ислоҳ кунед: чӣ, дар куҷо, чаро, истилоҳ, асос, соҳиби кӣ, дар куҷо бегона аст.

Принсипҳо:

Мӯҳлатҳои кӯтоҳ барои гузоришҳои ҳассос (дархостҳои хом бо IP/UA, телеметрияи маҷмӯӣ).
Ҷамъбаст ва бегона кардани таҳлили дарозмуддат (масалан, ҳаш/токен ба ҷои IP).
Нест кардани худкор/беном кардани вақтсанҷ; манъи гузоришҳои "абадӣ".

Намуна (роҳнамо, мутобиқ шудан ба салоҳият/танзимкунанда):

Гузоришҳои сервери веб (IP, UA, роҳ) - 30-90 рӯз (амният/пайгирӣ).
Санҷиши аудити амалҳои маъмурӣ - 1-3 сол (амният/мувофиқат).
Амалиёти пардохтӣ (метамаълумот) - 5-10 сол (баҳисобгирӣ/андоз, талаботи маҳаллӣ).
Артефактҳои KYC/AML - тибқи қонуни юрисдиксия (аксар вақт 5-7 сол).
Хусусиятҳои антифрод - 6-24 моҳ. бо баҳодиҳии мунтазами зарурат.

6) ISO 27001: барои гузоришҳо ва мониторинг чӣ лозим аст (амалия)

Сиёсати воридшавӣ ва мониторинг: рӯйдодҳо, ҳаҷмҳо, сатҳҳо, масъулиятҳо, нигоҳдорӣ, таҳлил, авҷгириро муайян кунед.

Назорати техникӣ (сабти ном):

Гирифтани рӯйдодҳои муҳим (аутентификатсия/авторизатсия, тағироти ҳуқуқ/конфигуратсия, дастрасӣ ба маълумот, муомилоти интиқодӣ, амалҳои маъмурӣ, хатогиҳои амниятӣ).
Синхронизатсияи вақт (NTP, манбаи ҳифзшаванда), минтақаҳои вақт ва тамғакоғазҳои дақиқ (миллисекундҳо).
Муҳофизати якпорчагӣ: мағозаҳои WORM, индексатсияҳои тағйирнопазир, занҷирҳо/имзоҳо, назорати дастрасии иловагӣ.
Ҷудосозии муҳитҳо ва гузоришҳо (prod/stage/dev), ҷудокунии асрҳо ва PII дар гузоришҳо.

Мониторинги фаъолият:

SIEM/UEBA, таносуби ҳодисаҳо, ҳудудҳо ва огоҳиҳо, вокуниши дафтарҳо.
Шарҳи мунтазами сабти рӯйдодҳо барои соҳаҳои муҳим (маъмурият, пардохтҳо, дастрасӣ ба DWH).
Нақшҳо ва масъулиятҳо: Соҳиби дороиҳо, соҳиби журнал, корманди IS/мувофиқат, раванди ҳодисаҳо.
Давраи ҳаёти журнал: ҷамъоварӣ → интиқол (TLS/M TLS) → нигоҳдорӣ (рамзгузорӣ, синфҳои нигоҳдорӣ) → таҳлил → нигоҳдорӣ/несткунӣ (сабти далели несткунӣ).

7) Таснифи маълумот ва назорати дастрасӣ

Синфҳои маълумот ҷамъиятӣ/дохилӣ/махфӣ/маҳдуд мебошанд (PII/Finance/KYC).

Сиёсати ниқоб/таҷдиди назар: Соҳаҳои ҳассосро истисно кунед (PAN, CVV, паролҳо, токенҳо).

RBAC/ABAC: дастрасии ҳадди ақали зарурӣ, нақшҳои алоҳида "гузоришҳои хониш" ва "идоракунӣ".

Гузоришҳои дастрасӣ ба журнал (metajournals): кӣ, кай, чӣ дастрас аст.

8) Криптография, калидҳо ва нақлиёт

Рамзгузории интиқол: TLS 1. 2+/1. 3, mTLS байни агентҳо ва коллектор, тасдиқи сертификат.

Рамзгузорӣ ҳангоми истироҳат: дискҳо/нигоҳдории объект, калидҳо дар KMS/HSM, гардиши калидҳо, калидҳои алоҳида барои синфҳои гуногуни маълумот.

Сегментатсия: Сатилҳо/индексатсияҳои алоҳида барои PII ва гузоришҳои техникӣ.

9) Нусхабардорӣ, бойгонии берунӣ ва барқарорсозӣ

Нусхабардорӣ: ҷадвал, рамзгузорӣ, назорати барқарорсозӣ (машқҳои муқаррарии DR), муҳофизати дубора/ransomware.

Берун/минтақа: бо назардошти талаботи маҳаллисозӣ/интиқоли фаромарзӣ (DPA, SCC, мутобиқат).

Шартҳои ягона: нигоҳдорӣ дар нусхаҳои эҳтиётӣ набояд шартҳои несткуниро дар фурӯш "сифр" кунанд; автоматикунонии мӯҳлати бойгонӣ.

10) Гузариш ба шахсони сеюм (коркардкунандагон)

DPA бо провайдерҳои таҳлилӣ/абрӣ/коллекторӣ: нақшҳо, зерсохторҳо, макони нигоҳдорӣ, чораҳои муҳофизатӣ, мӯҳлати несткунӣ.

Интиқоли байнисарҳадӣ: механизмҳои ҳуқуқӣ (SCC ва ғайра), тадбирҳои техникӣ (рамзгузории ниҳоӣ, тахаллус).

Аудит ва ҳисобот: ҳуқуқ ба аудит, ҳисоботҳо/сертификатсияҳои SOC, сабтҳои дастрасӣ.

11) Дар бораи ҳодисаҳо ва огоҳиҳо (GDPR)

Муайянкунӣ ва ислоҳ: огоҳиҳои SIEM, чиптаи ҳодиса, ях кардани гузоришҳои дахлдор (нигоҳдории ҳуқуқӣ).

72 соат барои огоҳ кардани танзимгар дар сурати ихроҷи назарраси маълумоти шахсӣ; арзёбии таъсир, таркиби огоҳинома, далелҳои тадбирҳо.

Пас аз марг: натиҷаҳо ба сиёсат/назорат, навсозии ретешен/ниқоб.

12) Хатогиҳои маъмулӣ ва чӣ гуна аз онҳо канорагирӣ кардан

Майдонҳои ҳассосро қайд кунед (паролҳо, нишонаҳо, PAN/CVV) → ниқоб дар сатҳи SDK/парпеч.

Гузоришҳои ҳамешагии техникӣ "танҳо дар ҳолати" → TTL ва беном гузоштан.

Ягона "дастрасии супер" ба SIEM → нақшҳои алоҳида ва имкон додани ВКХ.

Гузоришҳои тақсимнашудаи prod/dev → интишор ва дастрасиро маҳдуд мекунанд.

Набудани матритсаи нигоҳдорӣ ва делитерҳои автоматӣ → хатари ҷаримаҳои GDPR ва ихроҷи аз ҳад зиёд.

Нусхаҳои нусхабардорӣ бидуни рамзгузорӣ/ба охир расидани § нусхаҳои "абадӣ" -и PII.

13) Матритсаи ретенщен (намуна)

Категория	Майдонҳои намунавӣ	Мақсад	Асос	Мӯҳлат	Нигоҳдорӣ/Синф	Соҳиб	Ad notata
Дастрасӣ ба веб	IP, UA, роҳ	Бехатарӣ	Манфиати қонунӣ	60 рӯз	WORM-сатил (Рамзгузорӣ шудааст)	Секопҳо	Мо ≥ 30 рӯзро ҷамъ мекунем
Аут-аудит	истифодабарандаи идентификатсия, амал	Тафтишот	Манфиати қонунӣ	1 сол	SIEM/Индекс (Рамзгузорӣ шудааст)	Секопҳо	ВКХ ҳатмӣ
Админ-аудит	администратор, тағйирот	Назорати дастрасӣ	Ҳуқуқӣ/Шартнома	3 сол	WORM-таҳхона	CISO	Нобудкунӣ ғайри қобили татбиқ аст
Пардохтҳо мета	txnid, миқдор	Баҳисобгирӣ/андозҳо	Қонунӣ	5-10 сол	Рамзгузории DB/бойгонӣ	Молия	Аз рӯи салоҳият
KYC/AML	doc- Hash, чекҳо	Қонун	Қонунӣ	5-7 сол	Рамзгузории Vault	Мувофиқат	DPIA/Нигоҳдории ҳуқуқӣ
Хусусиятҳои зидди қаллобӣ	дастгоҳ, кластер	Бехатарӣ	Манфиати қонунӣ	12-24 моҳ	Дӯкони тахаллусшуда	Хавф	Шарҳи мунтазам

14) Сиёсати воридшавӣ ва нигоҳдорӣ (скелет)

1. Ҳаҷм ва истилоҳот.

2. Категорияҳо ва ҳадафҳо.

3. Асосҳои ҳуқуқӣ ва огоҳӣ.

4. Тасниф ва ҳадди аққал.

5. Ҷамъоварӣ, интиқол, нигоҳдорӣ (рамзгузорӣ, якпорчагӣ, WORM).

6. Дастрасӣ ва нақшҳо, аудити дастрасӣ.

7. Нигоҳдорӣ ва несткунии автоматӣ/беном.

8. Гузариш ба шахсони сеюм (DPA, SCC).

9. Мониторинг, SIEM, ҳушдор, ҳисобот.

10. Ҳодисаҳо ва огоҳиҳо (аз ҷумла 72 соат).

11. DR/BCP, нусхабардорӣ ва барқароршавӣ.

12. Шарҳи даврӣ (ҳамасола/агар равандҳо тағир ёбанд).

15) Рӯйхати назорати амалисозӣ (оғози зуд)

Ҳамаи манбаъҳои журнал ва майдонҳои PII-ро гиред; Даргиронидани ниқоби сатҳи SDK.
Матритсаи нигоҳдориро тасдиқ кунед ва TTL/anonymization автоматӣ кунед.
Танзими WORM/масуният барои гузоришҳои интиқодӣ ва назорати тамомияти ҳаш.
MTLS/TLS барои агентҳо/коллекторҳо; рамзгузорӣ дар истироҳат; калидҳо дар KMS, гардиш.
SIEM/UEBA, огоҳиҳо ва дафтарҳои бозӣ; гузоришҳои мета дастрасӣ.
DPIA барои мониторинги рафтор/антифрауд; Манфиатҳои қонунии LIA dlya.
DPA бо ҳама коркардкунандагон/абрҳо; тафтиши ҷойгиршавии маълумот ва КДО дар интиқоли фаромарзӣ.
Машқҳои DR барои барқарор кардани гузоришҳо ва нест кардани нусхаҳои эҳтиётӣ; ҳисоботдиҳӣ.
Навсозии огоҳинома дар бораи дахолатнопазирӣ (фасл дар бораи гузоришҳо/мӯҳлатҳо) ва тартиботи дохилии коркарди дархостҳо аз субъектҳо.

Хулосаи дубора

GDPR қонунӣ, шаффофият, ҳадди аққал ва мӯҳлатҳои маҳдудро талаб мекунад ва ISO 27001 пайдарҳамӣ ва исботро талаб мекунад: сиёсат, нақшҳо, назорати техникӣ, тағйирнопазирӣ ва мониторинг. Матритсаи нигоҳдорӣ ташкил кунед, ниқоб ва тахаллусро ворид кунед, интиқол/нигаҳдории рамзгузориро истифода баред, WORM ва SIEM-ро истифода баред, DPA-ро ба итмом расонед ва DPIA-ро омода созед - бо ин роҳ риски журнал барои амният ва аудит муфид боқӣ хоҳад монд, бидуни манбаи хатарҳои танзимкунанда ва обрӯ.