Dəlillərin və sənədlərin saxlanması

1) Məqsəd və nəticələr

• Artefaktların hüquqi əhəmiyyətli dəyişməzliyi (immutable evidence).
• İzlənilebilirlik: kim, nə vaxt, niyə yaratdı/dəyişdi/oxudu.
• «düymə ilə» auditə hazırlıq («audit pack» replikasiyası).
• Gizlilik və retensiyaya riayət (TTL, Legal Hold, silinmə/anonimləşdirmə).
• Hüquq və məsuliyyətin vahid konturu (RACI) və keyfiyyət metrikası.

2) Artefaktların taksonomiyası (bunu sübut hesab edirik)

Texniki: giriş və inzibati fəaliyyət qeydləri, skaner nəticələri (SAST/DAST/SCA), gizli skaner hesabatları, SOAR jurnalları, IaC/bulud sürüklənməsi, konfiqurasiya arxaları, KMS/HSM izləri.
Əməliyyat: ITSM biletləri/insidentlər/dəyişikliklər, post-mortem protokolları, DR/BCP test aktları, giriş təftiş hesabatları (re-cert).
Hüquqi və tənzimləyici: versiya jurnalı ilə siyasət/standartlar/SOP, DPA/SLA/addendum, tənzimləyicilərə bildirişlər, sorğulara cavablar, SARA/remediasiya.
Gizlilik və məlumatlar: emal reyestrləri, DSAR halları, silinmə/anonimləşdirmə təsdiqləri, retensiya qrafikləri, Legal Hold jurnalları.
Satıcılar/üçüncü tərəflər: Due Diligence nəticələri, sertifikatlar (SOC/ISO/PCI), pentest hesabatları, SLA uyğunluğu.
Maliyyə-nəzarət: AML/STR hesabatları, limitlər və istisnalar, SoD təsdiqləri.

3) Prinsiplər (design tenets)

Immutability by default: WORM/Object Lock, saxlama dövründə yenidən yazmağı qadağan edir.
Integrity & Authenticity: hash zəncirləri, merkli kökləri, rəqəmsal imza və vaxt işarələri.
Minimal & Purpose-bound: yalnız lazımi məlumatlar, təxəllüs/maskalanma.
Case-based access: oxu/ixrac jurnalı ilə case və rola giriş.
Policy-as-Code: Retence/Legal Hold/artefakt sinifləri - qaydaların anbarında.
Auditability: hash qəbzləri ilə təkrar hesabatlar və «audit paketi».

4) Rollar və RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Anbar arxitekturası (istinad)

1. Qəbul zonası (ingest): etibarlı şin, mTLS, retralar, deduplikasiya, meta məlumatların normallaşdırılması (JSON).
2. İsti saxlama: sürətli axtarış/hesabatlar (30-90 gün).
3. Soyuq saxlama: obyekt/arxiv (1-7 il), ekonom sinif.
4. WORM/Object Lock-kontur: baket/obyekt siyasətçiləri ilə dəyişməz dəlil arxivi.
5. Bütövlük: heş batch, merkli ağacları, dövri ankerinq; yoxlama jurnalı.
6. Artefaktların kataloqu/MDM: növlərin, sxemlərin, sahiblərin, TTL, əsas axtarış sahələrinin reyestri.
7. Giriş: RBAC/ABAC + case-based access; heş qəbzi ilə ixrac; həssas dəstlər üçün iki hissəli nəzarət.
8. Replikasiya və DR: geo-paylama, RTO/RPO hədəfləri, müntəzəm bərpa yoxlamaları.

6) Kod kimi siyasət (YAML-nümunə)

yaml id: EVD-RET-001 title: "Retention and Legal Hold (evidence)"
classes:
- name: "security_logs"
hot_days: 30 cold_days: 365 worm_years: 3
- name: "contracts_dpa"
hot_days: 0 cold_days: 2555  # ~7 лет worm_years: 7 legal_hold:
enabled: true override_ttl: true privacy:
mask_fields: ["email","phone","ip","account_id"]
export_policy: "case_based"
verification:
integrity_check: "daily"
anchor_cadence: "hourly"

7) Saxlama zənciri (Custody Chain)

Identifikasiya: unikal obyekt ID, mənbə, sxem versiyası.
Fiksasiya: hash SHA-256/512, paket imzası, vaxt möhürü.
Nəqliyyat: manifestlər jurnalı (kim/nə vaxt yüklədi/yoxladı).
Giriş: bütün oxunuşların/ixracların uçotu; case/biletə keçid.
Hesabat: heş-qəbzlər, yoxlama protokolları, yoxlama nəticələri.

8) Retence, Legal Hold və aradan qaldırılması

Artefaktların sinifləri və yurisdiksiyaları üzrə saxlama qrafikləri.
Legal Hold insidentlərdə/tənzimləyicinin sorğularında - silinmələrin «dondurulması».
TTL silinməsi - yalnız aktiv Hold olmaması avtomatik yoxlanıldıqdan sonra.
Silinmə hesabatı - obyektlərin siyahısı + yığılmış hash-hesabat.
Satıcının offbordinqi - güzgü retensiyası, məhv edilmənin təsdiqi.

9) Gizlilik və minimallaşdırma

Scope minimum: «tam payload» deyil, kontekstini saxlayın.
Həssas sahələrin təxəllüsü/maskalanması; ayrı-ayrı yenidən identifikasiya açarları.
Giriş «case»: DSAR/hadisə üçün - jurnal ilə müvəqqəti hüquqlar.
Transsərhəd: saxlama/emal ölkəsinin açıq işarələri; nüsxələrə nəzarət.

10) «Audit paketi» (struktur)

1. Təşkilatın təsviri və RACI.
2. Siyasətlər/standartlar/SOP (aktual versiyalar + changelog).
3. Sistem və nəzarət kartı + normalar/sertifikatlaşdırma üçün mapping.
4. KPI/KRI metrikası və dövr hesabatları.
5. Nümunə artefaktları: loqlar, konfiqlər, skanlar, DR/BCP, giriş yoxlamaları.
6. Vendor dosyesi: DPA/SLA, sertifikatlar, pentest hesabatlar.
7. SARA/remediasiya: status, bağlanış sübutları.
8. Paketin heş qəbzi və ona giriş jurnalı.

11) Metrika və SLO

Integrity Pass: Hash zəncirlərinin 100% uğurlu yoxlanılması.
Anchor Freshness p95: ≤ və yoxlama arasında 2 saat.
Coverage: evidence kataloqunda kritik sistemlərin 98% -ni ≥.
Access Review SLA: 100% aylıq arxiv hüquqlarının yenidən sertifikatlaşdırılması.
Legal Hold Lag: Hold yükləmədən əvvəl hadisədən 15 dəqiqə ≤.
Export SLA («audit paketi»): Tam dəstin verilməsi üçün 8 saatdan ≤.
PII Leak Rate: Arxivlərdə 0 kritik sızma.

12) Daşbordlar (minimum dəsti)

Integrity & WORM: ankerinq statusu, Object Lock, yoxlama səhvləri.
Coverage & Catalog: artefaktların siniflərinin əhatə dairəsi, «dəliklər», yetim obyektlər.
Access & Exports: kim nə oxumaq/boşaltmaq, anomaliyalar, SoD-konfliktlər.
Retention & Hold: TTL zamanlayıcıları, aktiv Legal Hold, silinmə cədvəli.
Vendor Mirror: podratçılarda güzgü retensiyasının vəziyyəti.
Audit Readiness: «düymə ilə» hazırlıq və SLA qədər vaxt.

13) SOP (standart prosedurlar)

SOP-1: Sübut yükləmə

1. Mənbənin qeydiyyatı → 2) normallaşma/sxem → 3) hash və imza →

2. WORM zonasında qeyd → 5) yoxlama və ankerinq → 6) kataloq yenilənməsi.

SOP-2: «Audit pack» hazırlanması

Case açın → nümunə artefaktların siyahısını toplayın → paket yaradın → hash qəbzini yaradın → legal review → rəsmi kanal vasitəsilə verin → giriş və WORM-də bir nüsxə yazın.

SOP-3: Legal Hold

Hold başlamaq → classes/cases bağlamaq → silmə tapşırıqlarını dayandırmaq → sahiblərinə bildirin → bütün əməliyyatları qeyd edin → Qanuni həll Hold aradan qaldırılması.

SOP-4: TTL ilə silinir

Aktiv Hold yoxlayın → atomik silmək → hash xülasəsi ilə hesabat buraxmaq → kataloq yeniləmək.

SOP-5: Offbording satıcı

Ayna saxlama hesabatı sorğusu → ixrac/ötürmə → satıcıdan məhv edilməsini təsdiqləmək → yoxlama və arayış arxivi.

14) Artefaktın meta məlumatları (minimum)

UID, sinif, sxem versiyası, mənbə, sahibi/əlaqə.
Yaradılma tarixi/vaxtı və yükləmə, yurisdiksiya/saxlama bölgəsi.
Hash/imza/merkli siyahısı və yoxlama tarixi.
TTL və Legal Hold statusu.
Əlaqədar biletlərə/iş yerlərinə/siyasətlərə istinadlar.
Giriş/ixrac tarixi.

15) Bütövlük yoxlaması (alqoritm)

batches gündəlik nümunə → hashes yenidən hesablanması → merkli-kök ilə müqayisə → uyğunsuzluq hesabatı → avtomatik eskalasiya və istintaqdan əvvəl mübahisəli seqmentlərin «freeze».

16) Keyfiyyət və test

Schema compliance ≥ 99. 5% (sapmalar → qəbulun bloklanması).
Disaster Restore Drills - rüblük arxiv bərpa testləri.
Reperformability - auditorlar üçün reperformasiya skriptləri (hesabatların təkrarlanabilirliyi).
Versioned Playbooks - SOP və «audit pack» şablonlarının versiyalaşdırılması.

17) Antipattern

No WORM/immutability → mübahisəli sübut.
Sxemsiz xam mətn → zəif axtarış/etibarlılıq.
Heç bir kataloq və sahibləri → «heç-heçə» məsuliyyət.
Arxiv «anbar» kimi: metrik/daşbord yoxdur, DR testləri yoxdur.
Bitmə tarixi olmayan əbədi istisnalar (waivers).
Hash qəbzi və giriş jurnalı olmadan ixrac.
Minimuma endirilmədən artefaktlarda PI prod məlumatlarının qarışdırılması.

18) Yetkinlik modeli (M0-M4)

M0 Manual: dağınıq qovluqlar, heç bir TTL/saxlama zənciri.
M1 Kataloq: artefaktların vahid reyestri, baza retensiyası.
M2 Managed: WORM/Object Lock, IAM, Legal Hold, Dashboard ilə inteqrasiya.
M3 Assured: hash zəncirləri, ankerinq, case-based access, düymə ilə «audit paketi».
M4 Continuous Assurance: Avtomatik bütövlük yoxlamaları, proqnoz riskləri, vendorlarda güzgü retensiyası, tam DR təlimləri.

19) Əlaqəli məqalələr wiki

Jurnal və protokolların aparılması

Audit Trail: əməliyyatların izlənməsi

Legal Hold və məlumatların dondurulması

Məlumatların saxlanması və silinməsi qrafikləri

Davamlı uyğunluq monitorinqi (CCM)

KPI və komplayens metrikası

Due Diligence və autsorsing riskləri

Uyğunluq siyasətində dəyişikliklərin idarə edilməsi

Tənzimləyicilər və auditorlar ilə qarşılıqlı əlaqə

Yekun

Dəlillərin etibarlı saxlanması sadəcə «arxiv» deyil, idarə olunan və sübut edilə bilən dəyişməz sistemdir: WORM və heş zəncirləri, ciddi retensiya və Legal Hold siyasətləri, «case» girişi, kataloqlar və metriklər, «audit pack» və mütəmadi olaraq bütövlük yoxlamaları. Belə bir sistemdə audit proqnozlaşdırıla bilər, araşdırmalar sürətli və risklər nəzarət altındadır.