Крипто-казино
Torrent Gear
GDPR/ISO 27001: вимоги до логів та зберігання даних
1) Навіщо це важливо
Логи і бази - це персональні дані (IP, cookie-ID, device-ID, user-ID, поведінкові події). Значить, на них поширюються: законність і прозорість обробки, обмеження мети і термінів, мінімізація, точність, цілісність/конфіденційність, а також права суб'єктів (GDPR). ISO 27001 додає управлінські та технічні контролі: політика логування, моніторинг, захист активів, управління доступами, резервування, криптографія та управління змінами.
2) Правова основа та цілі (GDPR)
Цілі логування: безпека, розслідування інцидентів, виконання законів, фінансовий аудит, боротьба з фродом.
Правові підстави:- Legitimate interests - кібербезпека, антифрод; робіть тест балансу інтересів.
- Legal obligation/contract - бухгалтерія, податкова звітність, AML/KYC-слід.
- Consent - тільки для аналітики/маркетингу, не для «строго необхідних» security-логів.
- Прозорість: повідомте в Privacy Notice, виділіть окремий розділ про логи/терміни/категорії одержувачів.
3) DPIA і ризик-підхід
Проводьте DPIA для масштабного моніторингу поведінки (ігрові події, поведінкова біометрія, антифрод-профілі). Опишіть: цілі, обсяги, ризики, що пом'якшують заходи (псевдонімізація, доступ за ролями, короткі терміни зберігання, роздільне зберігання ключів).
4) Права суб'єктів і винятки
Доступ/копія: надайте відомості про категорії логів і періоди; не розкривайте сигнатури безпеки.
Виправлення/обмеження/заперечення: оцінка запиту vs необхідність для безпеки і правових обов'язків.
Видалення: допустимі винятки, якщо зберігання необхідне для захисту від позовів, виконання закону або розслідування інциденту; фіксуйте рішення і термін перегляду.
5) Терміни зберігання (retention) і мінімізація
Фіксуйте матрицю ретеншену: що, де, навіщо, термін, підстава, хто власник, куди відчужується.
Принципи:- Короткі терміни для високо-чутливих логів (сирі запити з IP/UA, неагрегована телеметрія).
- Агрегація і псевдонімізація для довгострокової аналітики (наприклад, хеш/токен замість IP).
- Автоматичне видалення/анонімізація по таймеру; заборона «безстрокових» логів.
- Логи веб-сервера (IP, UA, шлях) - 30-90 днів (безпека/трейсинг).
- Аудит-трейл адмін-дій - 1-3 роки (безпека/комплаєнс).
- Транзакції платежів (метадані) - 5-10 років (бухоблік/податки, локальні вимоги).
- KYC/AML-артефакти - за законом юрисдикції (часто 5-7 років).
- Антифрод-фічі - 6-24 міс. з регулярною переоцінкою необхідності.
6) ISO 27001: що потрібно до логів і моніторингу (практика)
Політика логування та моніторингу: визначте події, обсяги, рівні, відповідальність, зберігання, аналіз, ескалації.
Технічні контролі (логування):- Захоплення значущих подій (автентифікація/авторизація, зміни прав/конфігів, доступ до даних, критичні транзакції, адмін-дії, помилки безпеки).
- Синхронізація часу (NTP, захищене джерело), зберігайте тайм-зони і точні мітки (мілісекунди).
- Захист цілісності: WORM-сховища, незмінні індекси, хеш-ланцюжки/підписи, контроль доступу «тільки додавання».
- Розділення середовищ і журналів (prod/stage/dev), ізоляція секретів і PII в логах.
- SIEM/UEBA, кореляція подій, пороги і алерти, реакція по плейбуках.
- Регулярні огляди логів «вручну» по критичних зонах (адмінка, платежі, доступ до DWH).
- Ролі та обов'язки: власник активу, власник журналу, офіцер ІБ/комплаєнсу, процес інцидентів.
- Життєвий цикл логів: збір → транспорт (TLS/mTLS) → зберігання (шифрування, класи зберігання) → аналіз → ретеншен/видалення (протоколювати факт видалення).
7) Класифікація даних і контроль доступу
Класи даних: Public / Internal / Confidential / Restricted (PII/финансы/KYC).
Політика маскування/редакції: виключайте чутливі поля (PAN, CVV, паролі, токени).
RBAC/ABAC: мінімально необхідний доступ, роздільні ролі «читання логів» і «управління».
Журнали доступу до журналів (метажурнали): хто, коли, до чого звертався.
8) Криптографія, ключі та транспорт
Шифрування при передачі: TLS 1. 2+/1. 3, mTLS між агентами і колектором, перевірка сертифікатів.
Шифрування в спокої: диски/об'єктне сховище, ключі в KMS/HSM, ротація ключів, окремі ключі для різних класів даних.
Сегментація: окремі бакети/індекси для PII і для технічних логів.
9) Резервні копії, офсайт-архів і відновлення
Бекапи: розклад, шифрування, контроль відновлення (регулярні DR-навчання), захист від перезапису/шифрувальників.
Офсайт/мульти-регіон: з урахуванням вимог локалізації/транскордонної передачі (DPA, SCC, адекватність).
Єдині терміни: ретеншен в бекапах не повинен «обнуляти» терміни видалень у проді; автоматизуйте експірацію архівів.
10) Передача третім особам (процесори)
DPA з провайдерами лог-аналітики/хмар/колекторів: ролі, субпроцесори, місця зберігання, заходи захисту, терміни видалення.
Транскордонна передача: правові механізми (SCC тощо), технічні заходи (наскрізне шифрування, псевдонімізація).
Аудит та звітність: право на аудит, SOC-звіти/сертифікації, журнали доступу.
11) Про інциденти та повідомлення (GDPR)
Виявлення та фіксація: SIEM-алерти, тікет інциденту, заморожування релевантних логів (legal hold).
72 години на повідомлення регулятора при істотному витоку персональних даних; оцінка впливу, склад повідомлення, докази заходів.
Пост-мортем: висновки в політику/контролі, оновлення ретеншену/маскування.
12) Типові помилки і як їх уникнути
Логування чутливих полів (паролі, токени, PAN/CVV) → маскуйте на рівні SDK/обгорток.
Безстрокові technical-логи «про всяк випадок» → ставте TTL і анонімізацію.
Єдиний «супер-доступ» до SIEM → розділяйте ролі і включайте MFA.
Нерозділені prod/dev журнали → рознести і обмежити доступ.
Відсутність матриці ретеншену і автоматичних делітів → ризики GDPR-штрафів і надлишкових витоків.
Бекапи без шифрування/експірації → «вічні» копії PII.
13) Матриця ретеншену (зразок)
14) Політика логування та зберігання (скелет)
1. Область і терміни.
2. Категорії логів і цілі.
3. Правові підстави та повідомлення.
4. Класифікація та мінімізація.
5. Збір, транспорт, зберігання (шифрування, цілісність, WORM).
6. Доступ і ролі, аудит доступу.
7. Ретеншен і автоматичне видалення/анонімізація.
8. Передача третім особам (DPA, SCC).
9. Моніторинг, SIEM, алертинг, звітність.
10. Інциденти та повідомлення (включаючи 72 ч).
11. DR/BCP, бекапи і відновлення.
12. Періодичний перегляд (щорічно/при змінах процесів).
15) Чек-лист впровадження (швидкий старт)
- Інвентаризуйте всі джерела логів і PII-поля; увімкніть маскування на рівні SDK.
- Затвердіть матрицю ретеншену і автоматизуйте TTL/анонімізацію.
- Налаштуйте WORM/immutability для критичних журналів і хеш-контроль цілісності.
- mTLS/TLS для агентів/колекторів; шифрування at-rest; ключі в KMS, ротація.
- SIEM/UEBA, алерти і плейбуки; метажурнали доступу до журналів.
- DPIA для поведінкового моніторингу/антифроду; LIA для legitimate interests.
- DPA з усіма процесорами/хмарами; перевірка локації даних і SCC при транскордонній передачі.
- DR-навчання з відновлення логів і видалення в бекапах; звітність.
- Оновіть Privacy Notice (розділ про логи/терміни) і внутрішні процедури обробки запитів суб'єктів.
Резюме
GDPR вимагає законності, прозорості, мінімізації та обмежених термінів, а ISO 27001 - системності та доказовості: політика, ролі, технічні контролі, незмінюваність і моніторинг. Сформуйте матрицю ретеншену, введіть маскування і псевдонімізацію, шифруйте транспорт/сховища, застосовуйте WORM і SIEM, укладіть DPA і готуйте DPIA - так журнальний слід залишиться корисним для безпеки і аудиту, не перетворюючись на джерело регуляторних і репутаційних Ризики