Crypto Casino
Torrent Dişli
GDPR/ISO 27001: günlük ve veri depolama gereksinimleri
1) Neden önemli
Kayıtlar ve veritabanları kişisel verilerdir (IP, çerez kimliği, cihaz kimliği, kullanıcı kimliği, davranışsal olaylar). Bu, aşağıdakilere tabi oldukları anlamına gelir: işlemenin yasallığı ve şeffaflığı, amaç ve zamanın sınırlandırılması, minimizasyon, doğruluk, bütünlük/gizlilik ve ayrıca öznelerin hakları (GDPR). ISO 27001 yönetim ve teknik kontrolleri ekler: kayıt politikası, izleme, varlık koruması, erişim yönetimi, artıklık, kriptografi ve değişim yönetimi.
2) Yasal Dayanak ve Amaçlar (GDPR)
Günlük hedefleri: güvenlik, olay soruşturması, yasaların uygulanması, mali denetim, dolandırıcılıkla mücadele.
Yasal dayanaklar:- Meşru çıkarlar - siber güvenlik, dolandırıcılıkla mücadele; Çıkar dengesi testi yap.
- Yasal yükümlülük/sözleşme - muhasebe, vergi raporlama, AML/KYC izi.
- Onay - sadece analitik/pazarlama için, "kesinlikle gerekli" güvenlik günlükleri için değil.
- Şeffaflık: Gizlilik Bildirimi'nde bildirimde bulunun, günlükler/son tarihler/alıcı kategorileri hakkında ayrı bir bölüm seçin.
3) DPIA ve risk yaklaşımı
Büyük ölçekli davranış izleme için DPIA yapmak (oyun olayları, davranışsal biyometri, anti-dolandırıcılık profilleri). Tanımlar: hedefler, kapsamlar, riskler, hafifletici önlemler (takma ad, role göre erişim, kısa raf ömrü, anahtarların ayrı depolanması).
4) Öznelerin hakları ve istisnalar
Erişim/kopyalama: günlük kategorileri ve dönemleri hakkında bilgi vermek; Güvenlik imzalarını ifşa etmeyin.
Düzeltme/sınırlama/itiraz: Güvenlik ve yasal görevlere karşı talebin değerlendirilmesi.
Silme: Davalara karşı korunmak, yasalara uymak veya bir olayı araştırmak için depolama gerekiyorsa istisnalara izin verilir; Kararı ve revizyon süresini kaydedin.
5) Tutma ve küçültme
Retenschen matrisini düzeltin: ne, nerede, neden, terim, temel, sahibi kim, nerede yabancılaşmış.
İlkeler:- Son derece hassas günlükler için kısa son tarihler (IP/UA ile ham istekler, toplanmamış telemetri).
- Uzun vadeli analizler için toplama ve takma ad (örneğin, IP yerine hash/token).
- Zamanlayıcı ile otomatik silme/anonimleştirme; "Daimi" kütüklerin yasaklanması.
- Web sunucusu günlükleri (IP, UA, yol) - 30-90 gün (güvenlik/izleme).
- Yönetici eylemlerinin denetim izi - 1-3 yıl (güvenlik/uyumluluk).
- Ödeme işlemleri (meta veriler) - 5-10 yıl (muhasebe/vergiler, yerel gereksinimler).
- KYC/AML eserleri - yargı yasasına göre (genellikle 5-7 yıl).
- Antifrod özellikleri - 6-24 ay. Gerekliliği düzenli olarak yeniden değerlendirerek.
6) ISO 27001: günlükler ve izleme için gerekenler (uygulama)
Günlüğe kaydetme ve izleme politikası: Olayları, hacimleri, seviyeleri, sorumlulukları, depolamayı, analizi, yükselmeleri tanımlar.
Teknik kontroller (günlük kaydı):- Önemli olayların yakalanması (kimlik doğrulama/yetkilendirme, haklar/yapılandırma değişiklikleri, veri erişimi, kritik işlemler, yönetici eylemleri, güvenlik hataları).
- Zaman senkronizasyonu (NTP, korumalı kaynak), saat dilimlerini ve tam etiketleri (milisaniye) depolayın.
- Bütünlük koruması: WORM depoları, değişmez dizinler, karma zincirler/imzalar, yalnızca ekle erişim kontrolü.
- Ortamların ve kütüklerin ayrılması (prod/stage/dev), kayıtlarda sırların ve PII'nin izolasyonu.
- SIEM/UEBA, olay korelasyonu, eşikler ve uyarılar, playbook yanıtı.
- Kritik alanlar için "manuel'olarak düzenli günlük incelemeleri (yönetici, ödemeler, DWH'ye erişim).
- Roller ve Sorumluluklar: Varlık Sahibi, Dergi Sahibi, IS/Uyum Görevlisi, Olay Süreci.
- Günlük yaşam döngüsü: Toplama - taşıma (TLS/mTLS) - depolama (şifreleme, depolama sınıfları) - analiz - saklama/silme (silme gerçeğini günlüğe kaydetme).
7) Veri sınıflandırma ve erişim kontrolü
Veri sınıfları Public/Internal/Confidential/Restricted (PII/Finance/KYC)'dir.
Maskeleme/Revizyon İlkesi: Hassas alanları hariç tutun (PAN, CVV, parolalar, belirteçler).
RBAC/ABAC: minimum erişim, ayrı roller "okuma günlükleri've" yönetim ".
Giriş erişim günlükleri (metajournals): kim, ne zaman, neye erişildi.
8) Kriptografi, anahtarlar ve taşıma
İletim şifrelemesi: TLS 1. 2+/1. 3, aracılar ve toplayıcı arasında mTLS, sertifika doğrulama.
Dinlenme sırasında şifreleme: diskler/nesne depolama, KMS/HSM'deki anahtarlar, anahtar döndürme, farklı veri sınıfları için ayrı anahtarlar.
Segmentasyon: PII ve teknik günlükler için ayrı kovalar/indeksler.
9) Yedeklemeler, şirket dışı arşiv ve kurtarma
Yedeklemeler: zamanlama, şifreleme, kurtarma kontrolü (düzenli DR egzersizleri), üzerine yazma/fidye yazılımı koruması.
Saha dışı/çok bölgeli: lokalizasyon/sınır ötesi iletim (DPA, SCC, yeterlilik) gereksinimlerini dikkate alarak.
Tekdüze terimler: yedeklerde tutma, satıştaki silme koşullarını "sıfırlamamalı"; Arşiv sona ermesini otomatikleştirin.
10) Üçüncü taraflara transfer (işlemciler)
Günlük analizi/bulut/toplayıcı sağlayıcıları ile DPA: roller, alt işlemciler, depolama yerleri, koruma önlemleri, silme son tarihleri.
Sınır ötesi iletim: yasal mekanizmalar (SCC, vb.), Teknik önlemler (uçtan uca şifreleme, takma ad verme).
Denetim ve raporlama: denetim hakkı, SOC raporları/sertifikaları, erişim günlükleri.
11) Olaylar ve Bildirimler Hakkında (GDPR)
Algılama ve sabitleme: SIEM uyarıları, olay bileti, ilgili günlüklerin dondurulması (yasal bekletme).
Kişisel verilerin önemli ölçüde sızması durumunda düzenleyiciyi bilgilendirmek için 72 saat; Etki değerlendirmesi, bildirim kompozisyonu, önlemlerin kanıtı.
Ölüm sonrası: politika/kontrollere çıktılar, reteschen/maskeleme güncellemesi.
12) Tipik hatalar ve onlardan nasıl kaçınılacağı
Hassas alanları (parolalar, belirteçler, PAN/CVV) günlüğe kaydedin - SDK/sarıcı düzeyinde maske.
"Her ihtimale karşı" sürekli teknik kayıtlar - TTL ve anonimleştirme koyun.
SIEM'e tek "süper erişim" - ayrı roller ve MFA'yı etkinleştirin.
Bölünmemiş prod/dev günlükleri - posta ve erişimi kısıtlayın.
Bir tutma matrisinin ve otomatik sınırlayıcıların olmaması - GDPR cezalarının ve aşırı sızıntıların riskleri.
Şifreleme/sona erme olmadan yedeklemeler - PII'nin "ebedi" kopyaları.
13) Retenschen matrisi (örnek)
14) Günlük ve depolama politikası (iskelet)
1. Kapsam ve şartlar.
2. Log kategorileri ve hedefleri.
3. Yasal dayanak ve uyarı.
4. Sınıflandırma ve küçültme.
5. Toplama, taşıma, depolama (şifreleme, bütünlük, WORM).
6. Erişim ve roller, erişim denetimi.
7. Saklama ve otomatik silme/anonimleştirme.
8. Üçüncü taraflara transfer (DPA, SCC).
9. İzleme, SIEM, uyarı, raporlama.
10. Olaylar ve bildirimler (72 saat dahil).
11. DR/BCP, yedeklemeler ve kurtarma.
12. Periyodik inceleme (yıllık olarak/süreçler değişirse).
15) Uygulama kontrol listesi (hızlı başlangıç)
- Tüm günlük kaynaklarının ve PII alanlarının stoklarını alın; SDK düzeyinde maskelemeyi etkinleştir.
- Saklama matrisini onaylayın ve TTL/anonimleştirmeyi otomatikleştirin.
- Kritik günlükler ve karma bütünlük kontrolü için WORM/bağışıklığı yapılandırın.
- Ajanlar/toplayıcılar için mTLS/TLS; At-rest şifreleme; KMS'deki anahtarlar, döndürme.
- SIEM/UEBA, uyarılar ve oyun kitapları; log access meta logs.
- Davranışsal izleme/antifraud için DPIA; LIA'nın meşru çıkarları для.
- Tüm işlemciler/bulutlar ile DPA; Sınır ötesi iletimde verilerin ve SCC'nin yerini kontrol etmek.
- Günlükleri geri yüklemek ve yedeklerde silmek için DR egzersizleri; raporlama.
- Gizlilik Bildirimini (günlükler/son tarihler ile ilgili bölüm) ve konulardan gelen talepleri işlemek için dahili prosedürleri güncelleyin.
Özgeçmiş Özeti
GDPR yasallık, şeffaflık, minimalizasyon ve sınırlı zaman çizelgeleri gerektirir ve ISO 27001 tutarlılık ve kanıtlanabilirlik gerektirir: politika, roller, teknik kontroller, değişmezlik ve izleme. Bir saklama matrisi oluşturun, maskeleme ve takma isim girin, taşıma/depolamayı şifreleyin, WORM ve SIEM kullanın, DPA'yı sonuçlandırın ve DPIA'yı hazırlayın - bu şekilde dergi izi, düzenleyici ve itibar riskleri kaynağı olmadan güvenlik ve denetim için yararlı kalacaktır.