निरंतर अनुपालन निगरानी

1) निरंतर अनुपालन निगरानी क्या है

• मैनुअल चेक और मानव कारक को कम करें।
• TTD/MTTR उल्लंघन कम करें।
• किसी भी समय "ऑडिट-रेडी" स्थिति प्रदान करें।
• नीति-ए-कोड के माध्यम से परिवर्तन में तेजी लाएं।

2) सीसीएम का दायरा

एक्सेस एंड आइडेंटिटीज (IAM/IGA): SoDs, निरर्थक भूमिकाएँ, "मालिक-कम पहुंच"।

डेटा और गोपनीयता: प्रतिधारण/टीटीएल, मास्किंग, लीगल होल्ड, डीएसएआर-एसएलए।

इन्फ्रास्ट्रक्चर/क्लाउड/आईएसी: कॉन्फ़िगरेशन बहाव, एन्क्रिप्शन, विभाजन।

उत्पाद/कोड/सीआई-सीडी: रिपॉजिटरी में रहस्य, SCA/SAST/DAST, OSS लाइसेंस।

लेनदेन/एएमएल: स्वीकृति/पीईपी स्क्रीनिंग, विसंगति नियम, एसटीआर/एसएआर।

संचालन: ऑडिट लॉग, बैकअप और रिकवरी, कमजोरियां।

3) सीसीएम संदर्भ वास्तुकला

1. सिग्नल संग्रह: एजेंट और कनेक्टर (क्लाउड, डेटाबेस, लॉग, SIEM, IAM, CI/CD, DLP, मेल/चैट अभिलेखागार)।

2. सामान्यीकरण और संवर्धन: अनुपालन शोकेस में इवेंट बस (काफ्का/बस) + ईटीएल/ईएलटी।

3. नीतियों के रूप में-कोड (CaC): संस्करणों, परीक्षणों और समीक्षाओं के साथ नीतियों का YAML/रेगो भंडार।

4. नियम इंजन (स्ट्रीम/बैच): उल्लंघन, प्राथमिकता और जोखिम दर की गणना करता है।

5. ऑर्केस्ट्रेशन: टिकटिंग/SOAR + RACI एस्केलेशन, ऑटो-रिमेडिएशन, SLA एक्सपोज़र।

6. साक्ष्य/WORM: अपरिवर्तनीय कलाकृतियाँ (लॉग, कॉन्फिग शॉट्स, रिपोर्ट)।

7. डैशबोर्ड और रिपोर्टिंग: हीटमैप, केपीआई/एसएलओ, नियामक अपलोड।

4) नीतियां-जैसा-कोड: मिनी-आरेख

yaml id: IAM-SOD-007 title: "Prohibition of toxic combination of roles: finance_approver + vendor_onboarder"
scope: ["iam:"]
detect:
query: iam_sod_violations_last_1h. sql severity: high notify: ["GRC","SecOps"]
remediate:
playbook: revoke_extra_role sla:
detect_minutes: 15 remediate_hours: 24 evidence:
sink: s3://evidence/iam-sod/dt={{ts}}
owners: ["IGA","FinanceOps"]

yaml id: GDPR-RET-001 title: "TTL 24м для PI; LegalHold priority"
rule: "object. age_months <= 24          object. legal_hold == true"
detect:
job: retention_scan_daily sla: { detect_minutes: 60, remediate_days: 7 }

5) मानकों द्वारा मानक नियंत्रण

6) मेट्रिक्स और एसएलओ

कवरेज: निगरानी के तहत सिस्टम/डेटा का% (लक्ष्य ≥ 90%)।

MTTD/MTTR नियंत्रण: पता लगाने/उन्मूलन के लिए समय का मतलब है।

बहाव दर: बहाव विन्यास/माह

झूठी सकारात्मक दर: नियमों द्वारा झूठी सकारात्मकता की दर।

लेखा परीक्षा तत्परता समय: साक्ष्य तैयार करने का समय (लक्ष्य - घंटे)।

DSAR SLA: % समय पर बंद; मध्ययुगीन प्रतिक्रिया।

पहुंच स्वच्छता: अप्रचलित अधिकारों का हिस्सा; SoD का उल्लंघन बंद करना।

7) सीसीएम प्रक्रियाएं (एसओपी)

1. आवश्यकताओं की पहचान → मैट्रिक्स "मानक → नियंत्रण → मीट्रिक"।

2. नियम डिजाइन - नीति-के-कोड, परीक्षण, पीआर/समीक्षा, संस्करण।

3. तैनाती - सत्यापन का मंचन, फिर फीचर ध्वज के साथ।

4. निगरानी और अलर्ट - प्राथमिकता (सेव/प्रभाव), शोर रद्द करना, डीडुप्लीकेशन।

5. मालिकों के लिए उपचार → ऑटो-प्लेबुक + टिकट; एसएलए वृद्धि।

6. साक्ष्य → आवधिक छवियां; WORM/अपरिवर्तनीयता; हैश सारांश।

7. पुनर्मूल्यांकन → नियमों की तिमाही ट्यूनिंग, एफपीआर/टीपीआर का विश्लेषण, ए/बी तुलना।

8. नियंत्रण मालिकों, निर्देशों और छूट का प्रशिक्षण → ऑनबोर्डिंग।

8) सतर्क जीवन चक्र

→ Triage → Assign → Remediate → सत्यापित करें → बंद करें → जानें।

प्रत्येक कदम के लिए दर्ज किया जाता है: मालिक, समय सीमा, उपाय, साक्ष्य की कलाकृतियां।

9) एकीकरण

जीआरसी - आवश्यकताएं, जोखिम, नियंत्रण, समीक्षा अभियान, कलाकृति भंडारण।

SIEM/SOAR - घटना सहसंबंध, स्वचालित प्लेबुक।

आईएएम/आईजीए - मूल्यांकन, एसओडी, आरबीएसी/एबीएसी, जीवन चक्र तक पहुंच।

CI/CD/DevSecOps - अनुपालन द्वार, SAST/DAST/SCA, गुप्त स्कैन।

डेटा प्लेटफ़ॉर्म - "अनुपालन" शोकेस, कैटलॉग/वंश, मास्किंग।

DLP/EDRM - संवेदनशीलता लेबल, एक्सफिल्ट्रेशन निषेध, लॉग।

टिकटिंग/आईटीएसएम - एसएलए, वृद्धि, मालिक और टीम रिपोर्ट।

10) डैशबोर्ड (न्यूनतम सेट)

अनुपालन हीटमैप (सिस्टम × नियम × स्थिति)।

एसएलए केंद्र (DSAR/AML/PCI/SOC2 समय सीमा, देरी)।

पहुँच और SoD (विषाक्त भूमिकाएँ, "भूल" पहुँच)।

प्रतिधारण और विलोपन (टीटीएल उल्लंघन, कानूनी पकड़ ताले)।

इन्फ्रा/क्लाउड बहाव।

घटनाएं और निष्कर्ष (पुनरावृत्ति रुझान, उपचारात्मक दक्षता)।

11) उदाहरण नियम (SQL/छद्म)

sql
SELECT user_id, dataset, created_at
FROM pi_objects
WHERE age_months(created_at) > 24
AND legal_hold = false;

sql
SELECT u. id, r1. role, r2. role
FROM user_roles r1
JOIN user_roles r2 ON r1. user_id = r2. user_id
JOIN users u ON u. id = r1. user_id
WHERE r1. role = 'finance_approver' AND r2. role = 'vendor_onboarder';

12) भूमिकाएँ और आरएसीआई

13) अपवाद प्रबंधन (छूट)

औपचारिक औपचारिकता और समाप्ति तिथि के साथ अनुरोध।

जोखिम मूल्यांकन और प्रतिपूरक नियंत्रण।

संशोधन का स्वतः अनुस्मारक।

रिपोर्टिंग (लेखा परीक्षक के लिए पारदर्शिता)।

14) सीसीएम में गोपनीयता और सुरक्षा

स्टोरफ्रंट और लॉग में डेटा को न्यूनतम करना (पीआईआई संस्करण)।

कर्तव्यों का पृथक्करण, कम से कम विशेषाधिकार।

अपरिवर्तनीयता (WORM/S3 ऑब्जेक्ट लॉक) для सबूत।

रिपोर्ट का क्रिप्टोग्राफिक फिक्सेशन (हैश चेन)।

कलाकृतियों तक पहुंच नियंत्रण और लॉगिंग।

15) चेकलिस्ट

सीसीएम प्रारंभ करें

• मैट्रिक्स "मानक → नियंत्रण → मीट्रिक" सहमत है।
• कुंजी संकेत स्रोत जुड़े हुए हैं।
• नीतियों को कोड द्वारा वर्णित किया गया है, परीक्षण और समीक्षाओं द्वा
• डैशबोर्ड और अलर्ट शामिल हैं; SLO/SLA परिभाषित।
• साक्ष्य (अपरिवर्तनीयता) अभिलेख विन्यस्त है।
• प्रशिक्षित मालिक; छूट प्रक्रिया परिभाषित।

लेखा परीक्षा से पहले

• नीतियों और परिवर्तनों के अद्यतन संस्करण।
• साक्ष्य चयन का एक सूखा रन चलाया गया था।
• विमुद्रीकरण और अपवाद दोषपूर्ण बंद हैं।
• कवरेज/एमटीटीडी/एमटीटीआर/बहाव मैट्रिक्स सामंजस्य स्थापित हैं।

16) एंटीपैटर्न

स्थायी नियंत्रण के बजाय "ऑडिट टू ऑडिट"।

प्राथमिकता और कमी के बिना शोर नियम।

संस्करण और परीक्षण के बिना नीतियां।

मालिकों और एसएलए के बिना निगरानी।

परिवर्तनशील स्थानों में साक्ष्य/हैश निर्धारण के बिना।

17) CCM परिपक्वता मॉडल (M0-M4)

M0 मैनुअल: छिटपुट जांच, एक्सेल में रिपोर्ट।

M1 वाद्य: आंशिक टेलीमेट्री, एक बार के नियम।

एम 2 ऑटोडेटेट: निरंतर जांच, बुनियादी एसएलओ और अलर्ट।

एम 3 ऑर्केस्ट्रेटेड: एसओएआर, ऑटो-रिमेडिएशन, "ऑडिट-रेडी" किसी भी दिन।

M4 कंटीन्यूअस एश्योरेंस: SDLC/सेल्स + ऑडिटर सेल्फ-सर्विस में चेक।

18) संबंधित विकी लेख

अनुपालन और रिपोर्टिंग स्वचालन

कानूनी पकड़ और डेटा फ्रीज

डिजाइन और डेटा न्यूनतम द्वारा गोपनीयता

डेटा प्रतिधारण और विलोपन अनुसूची

पीसीआई डीएसएस/एसओसी 2 नियंत्रण और प्रमाणन

हादसा प्रबंधन और फोरेंसिक

कुल

CCM एक संगठन की "नाड़ीकी नाड़ी" है: नीतियां कोड द्वारा व्यक्त की जाती हैं, संकेत लगातार प्रवाह करते हैं, उल्लंघन तुरंत दिखाई देते हैं, सबूत स्वचालित रूप से एकत्र किए जाते हैं, और ऑडिटिंग एक दिनहीं।