Komplayens və hesabatların avtomatlaşdırılması

1) Niyə komplayens avtomatlaşdırmaq

• Əl səhvləri və uyğunluq dəyərinin azaldılması.
• Auditorlar üçün şəffaflıq: izlənilən artefaktlar, dəyişməz qeydlər.
• Qaydalardakı dəyişikliklərə tez uyğunlaşma.
• SDLC və əməliyyat daxili nəzarət (shift-left + shift-right).

2) Lüğət və çərçivə

Controls/Controls: Riskləri azaltmaq üçün yoxlanılan tədbirlər (profilaktik/detektiv/korreksiya).
Evidence/Sübut bazası: qeydlər, hesabatlar, konfiqurasiya dampaları, ekran görüntüləri, CI/CD artefaktları.
GRC platforması: risklər, nəzarət, tələblər, tapşırıqlar və auditlərin reyestri.
Compliance-as-Code (CaC): siyasət/nəzarət deklarativ təsvir edilmişdir (YAML, Rego, OPA, Sentinel və s.).
RegOps: ayrı bir funksiya kimi SLO/alert ilə əməliyyat tələbləri.

3) Nəzarət kartı (istinad matrisi)

4) Avtomatlaşdırma arxitekturası (istinad)

1. Məlumat mənbələri: məhsuldar DD/loqlar, DWH/dataleyk, giriş sistemləri, CI/CD, bulud konfiqləri, ticketinq, poçt/söhbətlər (arxivlər).

2. Yığılması və normallaşdırılması: «Compliance» vitrinlərində → şin hadisələri (Kafka/Bus) və ETL/ELT konnektorları.

3. Qaydalar və siyasətlər (CaC): siyasət anbarı (YAML/Rego), linterlər, review, versiyalaşdırma.

4. Detektiv və orkestr: qaydaların mühərriki (stream/batch), tapşırıqlar və eskalasiyalar üçün SOAR/GRC.

5. Hesabat və evidence: req-form generatorları, PDF/CSV, daşbordlar, dəyişməzlik üçün WORM arxivi.

6. interfeyslər: Legal/Compliance/Audit üçün portallar, tənzimləyicilər üçün API (harada mövcuddur).

5) Məlumat və hadisə axını (nümunə)

Access Governance: «grant/revoke/role change» hadisələri → «əlavə imtiyazlar» qaydası → remediation üçün bilet → aylıq attest hesabat.
Retance/silinmə: TTL/silinmə hadisələri → «siyasət ilə rasinxron» nəzarət → alert + lazım olduqda Legal Hold ilə kilid.
AML-monitorinq: əməliyyatlar → qaydalar mühərriki və ML-seqmentasiya → cases (SAR) → tənzimləyici formata yükləmə.
Boşluqlar/konfiqurasiya: CI/CD → skanerlər → «hardening siyasəti» → son tarix ilə istisnalar (waivers) hesabat.

6) Compliance-as-Code: siyasətləri necə təsvir etmək olar

• Dəqiq giriş/çıxış ilə deklarativ format (policy-as-code).
• Version + kod review (PR) + hesabat təsiri ilə changelog.
• Retro-qaçış üçün siyasət (unit/property-based) və mühit «qum qutusu» testləri.

yaml id: GDPR-Retention-001 title: "TTL for personal data - 24 months"
scope: ["db:users. pi", "s3://datalake/pi/"]
rule: "object. age_months <= 24          object. legal_hold == true"
evidence:
- query: retention_violations_last_24h. sql
- artifact: s3://evidence/retention/GDPR-Retention-001/dt={{ds}}
owners: ["DPO","DataPlatform"]
sla:
detect_minutes: 60 remediate_days: 7

7) İnteqrasiya və sistemlər

GRC: tələblər, nəzarət, risklər, sahibləri, tapşırıqlar və yoxlamalar reyestri.
IAM/IGA: rol kataloqu, SoD qaydaları, giriş review kampaniyaları.
CI/CD: gate-plugins (quality/compliance gates), SAST/DAST/Secret scan, OSS lisenziyaları.
Cloud Security/IaC: Siyasətçilərə uyğunluq üçün Terraform/Kubernetes scan.
DLP/EDRM: həssaslıq nişanları, avto-şifrələmə, çıxarılma qadağası.
SIEM/SOAR: hadisələrin korrelyasiyası, nəzarət pozuntularına cavab pleybukları.
Data Platform: «Compliance» vitrinləri, lineage, məlumat kataloqu, maskalanma.

8) Tənzimləyici hesabat: tipik hallar

GDPR: emal reyestri (Art. 30), insident hesabatları (Art. 33/34), DSAR üzrə KPI (vaxt/nəticə).
AML: SAR/STR hesabatları, tetikləyici aqreqatları, dava həlli jurnalı, eskalasiya sübutları.
PCI DSS: tarama hesabatları, şəbəkə seqmentasiyası, kart məlumatları olan sistemlərin inventarı, açar nəzarəti.
SOC 2: nəzarət matrisi, təsdiq log, ekran görüntüləri/konfiqurasiya log, test test nəticələri.

Formatlar: WORM arxivində imzalanmış və saxlanılmış CSV/XBRL/XML/PDF, hash-dəsti ilə.

9) Metrika və SLO uyğunluğu

Coverage: nəzarət daxil sistemlərin payı (%).
MTTD/MTTR (nəzarət): orta vaxt detektiv/pozuntuların aradan qaldırılması.
Detektiv qaydalara uyğun olaraq False Positive Rate.
DSAR SLA: vaxtında bağlanmış%; media cavab vaxt.
Access Hygiene:% köhnəlmiş hüquqlar; Toxik kombinasiyaların bağlanış vaxtı.
Drift: Ayda konfiqurasiya sürükləmə sayı.
Audit Readiness: audit üçün evidence toplamaq üçün vaxt (məqsəd: saat, həftə deyil).

10) Proseslər (SOP) - Əsaslandırmadan praktikaya

1. Discovery & Mapping: data/sistem xəritəsi, kritik, sahibləri, tənzimləyici bağlantılar.
2. Dizayn siyasəti: tələblərin rəsmiləşdirilməsi → policy-as-code → testlər → review.
3. Giriş: qaydaların yerləşdirilməsi (staging → prod), CI/CD və hadisə şininə daxil edilməsi.
4. Monitorinq: daşbordlar, alertlər, həftəlik/aylıq hesabatlar, nəzarət komitəsi.
5. Remediation: avtomatik playbucks + müddəti və RACI ilə biletlər.
6. Evidence & Audit: artefaktların müntəzəm snapshot; xarici auditə hazırlıq.
7. Dəyişikliklər: siyasət, miqrasiya versiyalarının idarə edilməsi, köhnəlmiş nəzarətlərin deaktivləşdirilməsi.
8. Yenidən qiymətləndirmə: rüblük performans, sazlama qaydaları və SLO.

11) Rollar və RACI

12) Daşbordlar (minimum dəsti)

Compliance Heatmap: sistemlər/biznes xətləri üzrə nəzarət örtükləri.
SLA Center: DSAR/AML/SOC 2/PCI DSS son tarixlər, gecikmələr.
Access & Secrets: «zəhərli» rolları, vaxtı keçmiş sirləri/sertifikatları.
Retention & Deletion: TTL pozuntuları, Legal Hold səbəbiylə donma.
Incidents & Findings: pozuntu trendləri, təkrarlanabilirlik, remediation səmərəliliyi.

13) Çek vərəqləri

Avtomatlaşdırma proqramının işə salınması

• Tələblər və risklər reyestri Legal/Compliance ilə razılaşdırılmışdır.
• Nəzarət sahibləri və steykholderlər (RACI) təyin edilmişdir.
• Verilənlər konnektorları və «Compliance» vitrini konfiqurasiya edilmişdir.
• Siyasətlər CI/CD-yə əlavə edilmiş testlərlə örtülmüş kod kimi təsvir olunur.
• SLO/SLA tərəfindən müəyyən edilmiş alert və dashboard konfiqurasiya.
• evidence snapshot prosesi və WORM arxivi təsvir edilmişdir.

Xarici auditdən əvvəl

• Yenilənmiş matris nəzarət tələbləri.
• dry-run dəlil yığılması həyata keçirilmişdir.
• Vaxtı keçmiş remediation biletləri bağlanıb.
• Son tarixləri olan istisnalar (waivers) yeniləndi.

14) Artefakt şablonları

Compliance Ops həftəlik hesabatı (struktur)

1. CV: əsas risklər/hadisələr/trendlər.
2. Metriklər: Coverage, MTTD/MTTR, DSAR SLA, Drift.
3. Pozuntular və düzəliş statusu (by owner).
4. Siyasət dəyişiklikləri (versiyalar, təsir).
5. Həftə planı: prioritet remediation, giriş review.

Nəzarət kartı (nümunə)

ID/Adı/Təsviri

Normativ/Risklər

Тип: Preventive/Detective/Corrective

Scope (sistemlər/məlumatlar)

Kod kimi siyasət (link/versiya)

Effekt metrikası (FPR/TPR)

Sahibi/Backup sahibi

Evidence (nə və harada saxlanılır)

istisnalar (kim təsdiq, nə vaxt)

15) Antipattern

«Excel-də uyğunluq» - yoxlamalar və izlənilebilirlik yoxdur.
«Sorğu» əl hesabatları - proqnozlaşdırıla bilən və tam deyil.
Tələblərin koranə surəti - riskləri və iş kontekstini qiymətləndirmədən.
Monolit qaydaları - versiya və test olmadan.
Istismardan geribildirim yoxdur - metriklər yaxşılaşmır.

16) Yetkinlik modeli (M0-M4)

M0 Əl: dağınıq təcrübələr, heç bir dashboard.
M1 Kataloq: tələblər və sistemlərin reyestri, minimal hesabatlar.
M2 Autodetekt: hadisələr/alertlər, kod kimi ayrı-ayrı siyasətlər.
M3 Orchestrated: GRC + SOAR, cədvəl req hesabatları, kodda 80% nəzarət.
M4 Continuous Assurance: SDLC/Prode, Auto-evidence, Auditor self-service davamlı yoxlamalar.

17) Avtomatlaşdırma zamanı təhlükəsizlik və məxfilik

«Compliance» vitrinlərində məlumatların minimuma endirilməsi.
Ən kiçik imtiyazlar prinsipi ilə giriş, seqmentasiya.
evidence (WORM/Object Lock) immutable arxivləri.
Məlumatların şifrələnməsi və əsas intizam (KMS/HSM).
Hesabat və artefaktlara girişin loqinqi və monitorinqi.

18) Əlaqəli məqalələr wiki

Privacy by Design və məlumatların minimuma endirilməsi

Legal Hold və məlumatların dondurulması

Məlumatların saxlanması və silinməsi qrafikləri

DSAR: istifadəçi sorğuları

PCI DSS/SOC 2: nəzarət və sertifikatlaşdırma

Hadisə menecmenti və forensika

Yekun

Komplayensin avtomatlaşdırılması sistem mühəndisliyidir: siyasət kod, müşahidə, orkestr və sübut bazası kimi. Müvəffəqiyyət nəzarət örtüyü, reaksiya sürəti, hesabat keyfiyyəti və «düymə ilə» audit hazırlığı ilə ölçülür.