שבילי ביקורת ועקבות גישה
1) מטרה והיקף
המטרה: להבטיח את ההשלכות של פעולות משתמש/שירות, שקיפות חקירות, ציות לדרישות רגולטוריות וסטנדרטים פנימיים (GDPR/AML, חוזים עם ספקי PSP/KYC, ISO/PCI, אם הם מתאימים).
סיקור: כל מערכות הייצור, שירותי הפלטפורמה (חשבון, תשלומים, אנטי הונאה, CUS/סנקציות, RG), לוחות ניהול, שערי API, DWH/BI, תשתיות (K8s/Cloud), אינטגרציה עם ספקים.
2) מה לרשום (כיתות אירוע)
1. זיהוי וגישה: התחברות/התחברות, MFA, שינוי סיסמה/מפתח, SSO, גישה ”זכוכית פריצה”.
2. פעולות מנהליות: שינויים בתפקידים/זכויות, תצורות, חוקים נגד הונאה/סנקציות, תווי דגלים.
3. מבצעים עם מידע פיזי/פיננסי: קריאה/ייצוא/מחיקה, העלאה, גישה ל ־ KYC, צפייה בפרופילי VIP.
4. עסקאות וכסף: פסקי מזומן/פיקדונות, ביטולים, החזרים, החלטות על גב מטען.
5. ציות/AML/KYC: תוצאות סריקה (סנקציות/PEP/Adverse Media), החלטות (TP/FP), EDD/STR/SAR.
6. תקריות וביטחון: הסלמה, שינויי חוק WAF/IDS, בידוד שירות, סבב סודי.
7. אינטגרציות/ספקים: API קורא, טעויות, פסקי זמן, יצוא, מחיקת נתונים/אישורי חזרה.
3) שדות אירועים מנדטוריים (מינימום)
'event _ id' (UUID),' ts _ utc ',' ts _ local ',' source _ service ',' trace _ id'/' span _ idapose '
"actor _ type" (משתמש/שירות/ונדר), "actor _ id' (מזהה חזק)," advant _ org "(אם B2B)
'submething _ type' (חשבון/tx/מסמך/dataset), 'הנושא _ idapos
'פעולה' (למשל, 'READ _ PII', 'Export _ DATA', 'תפקיד _ עדכון', 'נסיגה _ לאשר')
"result' (הצלחה/מכחיש/טעות) הסיבה '/' טעות _ code&pos
'ip', 'התקן _ טביעת אצבע', 'geo' (מדינה/אזור), 'auth _ contract' (MFA/SSO)
”fields _ gied '/' scope” (כאשר עובד עם PII/מידע פיננסי) - עם מיסוך
(סיבה: DSAR, אירוע, בקשת רגולטור, משימה מבצעית)
4) חוסר יכולת וחוסר יכולת
אחסון תולעת עבור העתק ”זהב” (מדיניות שמירה/דליים בלתי ניתנים לשינוי).
חתימת קריפטו/שרשרת חשיש: חתימה מחזורית על צרור אירועים ו/או בניית שרשרת של חשיש (כבול חשיש) לזיהוי שינויים.
רישום של שינויים בתכניות/כללים: מזימות ורסיונינג ומדיניות כריתת עצים; כל עריכה עוברת דרך מונית.
אחסון דו-לולאה: אינדקס מקוון (חיפוש) + ארכיון/אי-תזוזה.
5) סינכרון זמן ואיתור
NTP/Chrony יחיד בכל הסביבות; ברישומים - 'ts _ utc' כמקור של אמת.
לכל רישום - 'trace _ id'/' span _ id' עבור התחקות מקצה לקצה של בקשות (מתאם בין שירותים, ספקים וחזית).
6) פרטיות וסודות
אסורים: סיסמאות, אסימונים, פאן/CSC מלא, מספרי מסמכים מלאים, ביומטריה גולמית.
מיסוך ברירת מחדל: דואר אלקטרוני/טלפון/IBAN/PAN = אסימונים/תצוגה חלקית.
Aliamasing: "user _ id' active token in analytics; מחייב זיהוי אמיתי - רק בלולאה מוגנת.
תאימות DSAR: היכולת לחלץ באופן סלקטיבי יומנים על ידי נושא מבלי לחשוף פיל חיצוני.
7) חיי מדף ורמות (שימור)
8) גישה ובקרה (RBAC/ABAC)
תפקידי קריאת יומן ביקורת נפרדים מתפקידי ניהול.
גישה של MFA ו-Just-in-Time (זכוכית פריצה) עם שלילה אוטומטית/רישום של סיבות.
מדיניות ”מינימום”: גישה לשדות פיל/פיננסי רק בעת הצורך ועם קיבעון ”מטרה”.
ייצוא/העלאה: רשימות לבנות של יעדים ופורמטים; חתימה/חשיש חובה, להעלות יומן.
9) שילוב SIEM/SOAR/ETL
זרימת האירוע נכנסת ל ־ SIEM עבור קורלציות (למשל, mass 'READ _ PII' + קלט מהתקן חדש).
ספרי משחקים: כרטיסים אוטומטיים להפרת מדיניות (אין ”מטרה”, נפח חריג, גישה מחוץ לחלון).
ETL/DWH: ”audit _ access',” pii _ export', ”admin _ משנה” חלונות עם בקרת איכות וסכימה.
10) איכות נתונים ואימות
סכימות קוד (JSON/Protobuf/Avro): שדות דרושים, סוגים, מילונים; מאשרים מודיעיניים.
דחייה ותור הסגר לאירועים עם שגיאות סכימה; מטרי גרוטאות.
Dauplication/idempotency by '(event_id, trace_id, ts) "; בקרת העברה מחדש.
11) ראסי (RACI)
12) SOP: חקירת גישה לנתונים
1. טריגר: התראת SIEM (לא נורמלי 'READ _ PII '/Export), תלונה, אות מהספק.
2. אוסף של חפצים: פריקת אירועים על ידי 'שחקן _ id'/' נושא _ id '/' trace _ id', 'ייעוד' log, יומנים קשורים (WAF/IDP).
3. אימות חוקיות: נוכחות של בסיס (DSAR/Incident/Service Task), קואורדינציה, חלונות גישה.
4. הערכת השפעה: היקף/קטגוריות PII, תחום שיפוט, סיכון לנבדקים.
5. פתרון: תקרית-גשר (כאשר High/Critical), בלימה (ביטול גישה, סיבוב מפתח).
6. דו "ח וCAPAs: סיבות, מדיניות מופרת, אמצעים (מיסוך, אימונים, שינויי RBAC), מועדים.
13) SOP: יצוא נתונים (רגולטור/שותף/DSAR)
1. בקשות לאמת את היסודות והזהות (עבור DSAR) של דור הבקשה ל ־ DWH.
2. דפרסונליזציה/מזעור כברירת מחדל; הכללה של מח "ש רק על בסיס חוקי.
3. הורד את הדור (CSV/JSON/Parquet) * חתימה/חשיש נא לכתוב ללוג ההורדה (מי/מתי/מה/כדי/סיבה).
4. העברה באמצעות ערוץ מאושר (sFTP/Secure Link); תקופת החזקה העתק - על ידי מדיניות.
5. לאחר בדיקה: אישור של קבלה, מחיקה של קבצים זמניים.
14) מטריצות ו ־ KRIs/KPIs
סיקור: נתח המערכות הקריטיות ששולחות ביקורות על אירועים ב-95%.
שגיאות DQ: אירועים שנדחו על ידי תוקף late 0. 5% מהזרימה.
MTTD של אובדן זרימה: 15 דקות (התראה בשתיקה).
גישה לא תקינה ללא ”מטרה”: = 0 (KRI).
זמן תגובה לחקירה: חציון 4h, P95 24 h.
יצוא חתום/חשיש: 100%.
שימור: מחיקות/ארכיון בזמן - 99%.
15) ספקים ודרישות תת ־ מעבד
DPA/SLA: תיאור של לוגי ביקורת (סכמות, מונחים, גאוגרפיה, פורמט יצוא), תולעת/אי-תזוזה, SLA של הודעות תקרית.
גישה לספקים: חשבונות שירות נקראים, יומנים של מעשיהם, האפשרות של ביקורת סלקטיבית.
ביטול מפתח, יצוא/מחיקה של יומנים, פעולת סגירה, אישור של הרס גיבוי.
16) בטיחות והגנה מפני מניפולציה
הפרדת תפקידים: מנהל המקורות עבור מנהל האחסון.
חתימת סוכן/אספן, mTLS בין רכיבים.
בקרות נגד התעסקות: השוואה של חשיש, בדיקות שלמות רגילות, התראות על אי התאמות.
גיאו-שכפול של עותקים של תולעת ובדיקות התאוששות רגילות.
17) שגיאות סוג ותבניות אנטי
כריתת ערכים רגישים (PAN/סודות) = הכללה מיידית של תוכנות אדמומיות-בינוניות.
חסר ”מטרה ”/” כרטיס _ id” כאשר גישה PII.
העלאות מקומיות ”לשולחן העבודה” ושליחת בדואר אלקטרוני.
היעדר מזימה אחת ואימות = שדות שקטים, בלתי אפשריים של קורלציה.
חשבון על אחד בלי להיות קשור לאדם או שירות.
18) רשימות בדיקה
18. 1 שיגור מדיניות/סקירה
[ ] הסכמות והמילונים מאושרים; שדות נדרשים כלולים[ ] מסכות ואיסורים על סודות מופעלים[ ] NTP מוגדר, "trace _ id' בכל מקום[ ] שכבות חמות/חמות/קרות/תולעת נערמות[ ] RBAC/ABAC ושבר-זכוכית מעוצבים[ ] SIEM/SOAR משולב, התראות נבדקו18. 2 ביקורת חודשית
[ ] ייצוא: חתימות/יומנים נכונים[ ] בדוק שימור/מחיקות/אחיזה חוקית[ ] מדדי DQ אישור, ניתוחי הסגר[ ] יומנים זמינים/מלאים19) מימוש מפת דרכים
שבועות 1-2: מלאי של מערכות, תיאום של תוכניות ושדות חובה, הגדרות זמן ועקבות.
שבועות 3-4: מאפשרים מיסוך, שכבת תולעת, שילוב SIEM/SOAR, הפעלת יומני ייצוא.
חודש 2: תוקף/התראה אוטומציה, פנקסי משחק חקירה, אימון צוות.
חודש 3 +: ביקורות רגילות, בדיקות לחץ יושר, טיוד, ביקורת ספקים/חוזה.
TL; DR
שבילי ביקורת חזקים = אירועים מלאים ומובנים + אי-תזוזה (WORM) וחתימות + PII המסווה + גישה קשה והעלאת רישומים + SIEM/SOAR Integration. זה מאיץ את החקירות, מפחית סיכונים והופך את הציות לבלתי אפשרי.