ذخیره سازی شواهد و مستندات

1) اهداف و نتایج

• از نظر قانونی شواهد غیر قابل تغییر قابل توجه است.
• قابلیت ردیابی: چه کسی، چه زمانی، چرا ایجاد/تغییر/خواندن.
• آماده برای ممیزی «با دکمه» (تکرار «بسته حسابرسی»).
• حفظ حریم خصوصی (TTL، نگهداری قانونی، حذف/ناشناس).
• مدار واحد حقوق و مسئولیت ها (RACI) و معیارهای کیفیت.

2) طبقه بندی مصنوعات (که ما شواهد را در نظر می گیریم)

فنی: سیاهههای مربوط دسترسی و اقدامات مدیر، خروجی اسکنر (SAST/DAST/SCA)، گزارش اسکن مخفی، سیاهههای مربوط SOAR، IaC رانش/ابرها، پشتیبان گیری پیکربندی، آهنگ KMS/HSM.
عامل: بلیط ITSM/حوادث/تغییرات، پروتکل های پس از مرگ، گزارش آزمون DR/BCP، گزارش حسابرسی دسترسی (دوباره cert).
قانونی و نظارتی: سیاست ها/استانداردها/SOP با ورود به سیستم نسخه، DPA/SLA/addendums، اطلاعیه ها به تنظیم کننده ها، پاسخ به درخواست ها، CAPA/اصلاح.
حریم خصوصی و داده ها: ثبت پردازش، موارد DSAR، تایید حذف/ناشناس، برنامه های نگهداری، مجلات حقوقی نگه دارید.
فروشندگان/اشخاص ثالث: نتایج ارزیابی، گواهینامه ها (SOC/ISO/PCI)، گزارش های pentest، انطباق SLA.
کنترل های مالی: گزارش های AML/STR، محدودیت ها و محرومیت ها، تأییدیه های SoD.

3) اصول طراحی

ایمنی به طور پیش فرض: WORM/Object Lock.
یکپارچگی و صحت: زنجیره های هش، ریشه های رنگ پریده، امضای دیجیتال و برچسب های زمانی.
حداقل و هدف محدود - فقط داده ها، نام مستعار/ماسک.
دسترسی مبتنی بر مورد: دسترسی به مورد و نقش، با ورود به سیستم خواندن/صادرات پایان به پایان.
سیاست به عنوان کد: کلاس های نگهداری/نگهداری قانونی/مصنوعی - در مخزن قانون.
Auditability: گزارش های تجدید پذیر و «بسته حسابرسی» با رسید هش.

4) نقش ها و RACI

(R - مسئول ؛ الف - مسئولیت پذیری ؛ C - مشاوره ؛ من - مطلع)

5) معماری ذخیره سازی (مرجع)

1. دریافت منطقه (مصرف): اتوبوس قابل اعتماد، mTLS، retrays، deduplication، نرمال سازی ابرداده (JSON).
2. ذخیره سازی داغ: جستجوی سریع/گزارش (30-90 روز).
3. ذخیره سازی سرد: شی/آرشیو (1-7 سال)، کلاس اقتصاد.
4. حلقه قفل WORM/Object: یک بایگانی غیر قابل تغییر از شواهد با سیاست های هر سطل/شی.

5. یکپارچگی: دسته های هش، درختان merkly، لنگر انداختن دوره ای ؛ گزارش حسابرسی

6. کاتالوگ/MDM مصنوعات: ثبت انواع، طرح ها، صاحبان، TTL، زمینه های جستجوی کلیدی.
7. دسترسی: RBAC/ABAC + دسترسی مبتنی بر مورد ؛ صادرات با دریافت هش ؛ کنترل دو نفره برای کیت های حساس.
8. تکرار و DR: توزیع جغرافیایی، اهداف RTO/RPO، چک های بازیابی منظم.

6) سیاست ها به عنوان کد (مثال YAML)

yaml id: EVD-RET-001 title: "Retention and Legal Hold (evidence)"
classes:
- name: "security_logs"
hot_days: 30 cold_days: 365 worm_years: 3
- name: "contracts_dpa"
hot_days: 0 cold_days: 2555  # ~7 лет worm_years: 7 legal_hold:
enabled: true override_ttl: true privacy:
mask_fields: ["email","phone","ip","account_id"]
export_policy: "case_based"
verification:
integrity_check: "daily"
anchor_cadence: "hourly"

7) زنجیره ای از حضانت

شناسایی: شناسه شی منحصر به فرد، منبع، نسخه طرح.
رفع: هش SHA-256/512، امضای بسته، برچسب زمان.
حمل و نقل: Manifest log (چه کسی/هنگام بارگیری/تأیید).
دسترسی: حسابداری برای همه خواندن/صادرات ؛ مورد/مرجع بلیط.
گزارش: رسید هش، پروتکل های تأیید، نتایج آشتی.

8) بازپرداخت، نگهداری قانونی و حذف

برنامه های ذخیره سازی توسط کلاس مصنوعی و صلاحیت.
نگه دارید قانونی برای حوادث/درخواست از تنظیم کننده - «انجماد» حذف.
حذف TTL - تنها پس از تأیید خودکار عدم وجود نگهدارنده فعال.
حذف گزارش - لیست شی + خلاصه هش جمع شده.
فروشنده offboarding - حفظ آینه، تایید تخریب.

9) حفظ حریم خصوصی و به حداقل رساندن

محدوده حداقل: زمینه فروشگاه، نه «بارگیری کامل».

Pseudonymization/ماسک کردن زمینه های حساس ؛ کلیدهای شناسایی مجدد جداگانه

دسترسی «با مورد»: برای DSAR/حادثه - حقوق موقت با ورود به سیستم.
مرزی: برچسب های صریح کشور ذخیره سازی/پردازش ؛ کپی کنترل.

10) «بسته حسابرسی» (ساختار)

1. توصیف سازمان و RACI

2. سیاست ها/استانداردها/SOP (نسخه های فعلی + تغییرات).
3. سیستم ها و کنترل نقشه + نرم/صدور گواهینامه نقشه برداری.
4. معیارهای KPI/KRI و گزارش دوره.
5. مصنوعات انتخاب: سیاهههای مربوط، پیکربندی، اسکن، DR/BCP، تجدید نظر دسترسی.
6. پرونده فروشنده: DPA/SLA، گواهینامه ها، گزارش های pentest.
7. CAPA/اصلاح: وضعیت، شواهد بسته شدن.
8. دریافت هش بسته و ورود به سیستم دسترسی.

11) معیارها و SLO

Integrity Pass: 100٪ چک های زنجیره ای هش موفق.
تازگی لنگر p95: ≤ 2 ساعت بین لنگر انداختن و تأیید.
پوشش: ≥ 98٪ از سیستم های بحرانی در دایرکتوری شواهد.
SLA Access Review: تأیید 100٪ ماهانه حقوق بایگانی.
Legal Hold Lag: ≤ 15 دقیقه از رویداد تا نصب Hold.
صادرات SLA («بسته حسابرسی»): ≤ 8 ساعت برای صدور یک مجموعه کامل.
PII نرخ نشت: 0 نشت بحرانی در آرشیو.

12) داشبورد (حداقل مجموعه)

یکپارچگی و WORM: وضعیت لنگر انداختن، قفل شی، خطاهای تأیید.
پوشش و کاتالوگ: پوشش کلاس مصنوعی، «سوراخ»، اشیاء یتیم.
دسترسی و صادرات: چه کسی خواندن/تخلیه چه، ناهنجاری ها، درگیری های SoD.
نگهداری و نگهداری: تایمر TTL، برگزاری حقوقی فعال، برنامه حذف.
آینه فروشنده: وضعیت نگهداری آینه با پیمانکاران.
آمادگی حسابرسی: آمادگی بر روی دکمه و زمان به SLA.

13) SOP (روش های استاندارد)

SOP-1: شواهد بارگیری

1. ثبت نام منبع → 2) عادی سازی/طرح → 3) هش و امضا →

2. ارسال به WORM Zone → 5) تأیید و لنگر → 6) به روز رسانی کاتالوگ.

SOP-2: آماده «بسته حسابرسی»

باز کردن → جمع آوری یک لیست از مصنوعات با انتخاب → تولید یک بسته → تولید یک رسید هش → بررسی حقوقی → موضوع آن را از طریق کانال رسمی → دسترسی به رکورد و یک کپی در WORM.

SOP-3: حقوقی

Initiate Hold → tie classes/cases → stop deletion jobs → notify صاحبان → ورود به سیستم تمام عملیات → remove Hold according to Legal's decision.

SOP-4: حذف TTL

Check active Hold → delete atomically → issue a hash summary report → بهروزرسانی فهرست راهنما.

SOP-5: فروشنده Offboarding

درخواست گزارش ذخیره سازی آینه → صادرات/انتقال → تأیید تخریب از فروشنده → تأیید و بایگانی گواهینامه ها.

14) ابرداده مصنوعی (حداقل)

UID، کلاس، نسخه طرح، منبع، مالک/مخاطبین.
تاریخ/زمان ایجاد و دانلود، صلاحیت/منطقه ذخیره سازی.
هش/امضا/لیست mercli و تاریخچه تأیید.
TTL و وضعیت حقوقی نگه دارید.
لینک به بلیط های مرتبط/موارد/سیاست.

تاریخچه دسترسی/صادرات

15) بررسی یکپارچگی (الگوریتم)

نمونه برداری روزانه از دسته ها → محاسبه مجدد هش ها → آشتی با mercli-root → گزارش در مورد ناسازگاری ها → تشدید خودکار و «انجماد» بخش های مورد بحث قبل از بررسی.

16) کیفیت و آزمایش

انطباق طرح ≥ 99. 5٪ (انحراف → مسدود کردن دریافت).
تمرینات بازیابی فاجعه - تست های بازیابی آرشیو سه ماهه.
قابلیت تغییر شکل - اسکریپت تجدید برای حسابرسان (تکرارپذیری گزارشها).
نسخه Playbooks - نسخه SOP و قالب بسته حسابرسی.

17) ضد گلوله

عدم وجود WORM/غیر قابل تغییر بودن شواهد بحث برانگیز

متن خام بدون طرح → جستجوی ضعیف/اعتبار.
هیچ کاتالوگ و صاحبان → مسئولیت «هیچ کس» وجود دارد.
بایگانی به عنوان «انبار»: هیچ متریک/داشبورد، هیچ آزمون DR.
چشم پوشی دائمی بدون تاریخ انقضا.
صادرات بدون دریافت هش و ورود به سیستم دسترسی.
مخلوط کردن داده های تولید PI در مصنوعات بدون به حداقل رساندن.

18) مدل بلوغ (M0-M4)

M0 کتابچه راهنمای کاربر: پوشه های پراکنده، بدون TTL/زنجیره ای از بازداشت.
M1 کاتالوگ: ثبت نام واحد از مصنوعات، حفظ پایه.
M2 مدیریت: WORM/Object Lock، ادغام با IAM، Legal Hold، داشبورد.
M3 اطمینان: زنجیره های هش، لنگر انداختن، دسترسی مبتنی بر مورد، «بسته حسابرسی» با دکمه.
M4 تضمین مداوم: چک یکپارچگی خودکار، خطرات پیش بینی، احتباس آینه در فروشندگان، تمرینات کامل DR.

19) مقالات ویکی مرتبط

ورود و خروج

پیگیری فعالیت حسابرسی

نگهداری قانونی و انجماد داده ها

نگهداری داده ها و برنامه های حذف

نظارت بر انطباق مداوم (CCM)

KPI ها و معیارهای انطباق

علت سعی و کوشش و خطرات برون سپاری

سیاست انطباق مدیریت تغییر

تعامل با تنظیم کننده ها و حسابرسان

مجموع

ذخیره سازی امن شواهد فقط یک «آرشیو» نیست، بلکه یک سیستم قابل کنترل و قابل تغییر است: زنجیره های WORM و هش، نگهداری دقیق و سیاست های نگهداری قانونی، دسترسی مورد به مورد، دایرکتوری ها و معیارهای تولید شده توسط «بسته حسابرسی» و چک های یکپارچگی منظم. در چنین سیستمی، حسابرسی قابل پیش بینی است، تحقیقات سریع است و خطرات تحت کنترل هستند.