ლოგებისა და მოვლენების შენახვის პოლიტიკა

1) სამიზნე და მოქმედების სფერო

მიზანი: უზრუნველყოს ლოგოების/მოვლენების კანონიერი, უსაფრთხო და ეკონომიური შენახვა, დაეხმაროს გამოძიებას, აუდიტს, AML/KYC ანგარიშებს და პლატფორმის სტაბილურობას.
გაშუქება: ყველა გარემო (stage/stage/dev), პროგრამები და მიკრო სერვისები, ანტიფროდები და გადახდები, CCC/სანქციები, RG, ინფრასტრუქტურა (K8s/ღრუბელი/CDN/WAF), პარტნიორები/გამყიდველები (PSP, KYC, ანტიფროდი, ანალიტიკა, ანალიტიკა).

2) ლოგების კლასები და მინდვრის მინიმალური შემადგენლობა

1. უსაფრთხოება (SecOps/Identity): ავთენტიფიკაცია, ATO/ანტიფროდიული სიგნალები, როლების შეცვლა და პოლიტიკოსი, PII- ზე წვდომა.

Поля: `actor`, `subject`, `action`, `result`, `ip`, `device`, `geo`, `risk_score`, `trace_id`.

2. გარიგებები/გადახდები: ანაბრები/დასკვნები, chargebacks, ანტიფროდული წესები.

Поля: `tx_id`, `amount`, `currency`, `psp`, `status`, `rule_hits[]`, `evidence_ref`.
3. KUS/სანქციები/REP: ინიციაციები, შედეგები, პროვაიდერი/სიების ვერსია, გადაწყვეტილებები (ნამდვილი/ფალსიური პოსტი).
4. ოპერაციები/SRE: SLO მეტრიკა, გამოშვებები, ავტოკატასტროფები, ინციდენტები, ალერტები.
5. მარკეტინგი/CRM (არჩევითი): თანხმობის/ხელმოწერის მოვლენები, კამპანიები (ზედმეტი PII გარეშე).
6. მონაცემების წვდომის აუდიტი: PII- ით კომპლექტების კითხვა/ექსპორტი/მოცილება; ბმულები DSAR/AML შემთხვევებზე.

აკრძალვა: შეინახეთ „ცოცხალი“ საიდუმლოებები, სავსე PAN/CSC, პაროლები, სრული დოკუმენტები. PII- სთვის - ტოკენიზაცია/შენიღბვა (იხ. § 6).

3) შენახვის დრო და შენახვის დონე (Hot/Warm/Cold/WORM)

4) დროის სინქრონიზაცია და ტრეკირება

ერთიანი დროებითი ბაზა: NTP/Chrony, შეინახეთ 'ts _ utc' (UTC) + 'ts _ ადგილობრივი' (ანგარიშგებისთვის).
კორელაცია: თითოეულ ლოგოში ჩართეთ 'trace _ id '/' spank _ id' და 'source _ service'.
დროის ზონები: მოხსენებები/ექსპორტი - აშკარა მითითებით TZ.

5) წვდომა, დაშიფვრა და პასუხისმგებლობების გამიჯვნა

დაშიფვრა: at rest (KMS; გასაღებების როტაცია მინიმუმ 90 დღე საიდუმლო სივრცეებისთვის) და in transit (TLS 1. 2+).
RBAC/ABAC: წვდომა მინიმუმამდე; ცალკეული როლები აუდიტის ლოგოების წასაკითხად.
Break glass: დროებითი წვდომა მრავალფუნქციური ავტორიზაციით და ავტოკატასტროფით.
სეგმენტი: ლოგოები PII/ფინანსებით - ინდივიდუალური ინდექსები/ავზები, ინდივიდუალური გასაღებები.
ლოგებზე წვდომის ჟურნალები: ყველა კითხვა/ექსპორტი ფიქსირდება და ეჭვიანობს.

6) კონფიდენციალურობა და შენიღბვა

მკაცრად აკრძალულია: პაროლების, ნიშნების, PAN (მთლიანად), CVV/CVC, სრული დოკუმენტების ნომრები, „ნედლეული“ ბიომეტრიული მონაცემები.
ნაგულისხმევი შენიღბვა: email 'p @ domain. com`; ტელეფონი '+ XXX123'; IBAN/PAN ნიშნები/ბოლო 4 ციფრი.
ფსევდონიმი: შეცვალოს 'user _ id' მუდმივი ნიშნით ანალიტიკურ/მარკეტინგულ ლოგოებში.
ქუქი-ფაილები/SDK: განათავსეთ მხოლოდ ტექნიკური იდენტიფიკატორები თანხმობით (CMP) და PII წებოვანი გარეშე, თუ არ არსებობს იურიდიული საფუძველი.
DSAR თავსებადობა: შეკვეთის წყაროზე ბმულის შენახვა და შერჩევის ამოღების/მოცილების შესაძლებლობა.

7) მონაცემთა თვისება და ფორმატირება

სქემა-კოდი: ცენტრალიზებული JSON სქემები/მოვლენების ოქმები, ვერსიები.
ვალიდაცია: არა null/დიაპაზონი/რეგექსები; უარყოფილი მოვლენები - კვარანტინის რიგში, მიზეზის ნიშნით.
დედუპლიკაცია: '(trace _ id, ts, წყარო)'; idempotency დონე ჭიდაობისთვის.
გამდიდრება: მკაცრად განსაზღვრული; Geo/devais ატრიბუტები - ლექსიკონის ვერსიის მითითებით.

8) არქიტექტურა და შენახვის დონე

ცხელი: ინდექსირებული საცავი/საძიებო მტევანი (ოპერატიული გამოძიება, SIEM).
Warm: ობიექტის საცავი დაჩქარებული დაშვებით/ჯადოსნური ინდექსებით.
ცივი: ობიექტის/საარქივო საცავი (glacier კლასი/ანალოგი), მოთხოვნები batch საშუალებით.

WORM/Legal Hold

9) წაშლა, არქივირება და ლეგალური ჰოლდი (SOP)

1. ყოველდღიური დამგეგმავი ითვლის კანდიდატებს ვადებში.
2. აქტიური ინციდენტების/გამოძიების შემოწმება/Legal Hold.
3. არქივი: გადაცემა Cold/WORM- ში, საჭიროების შემთხვევაში.
4. მოცილება: უსაფრთხო გაწმენდა + ჟურნალი ('dataset', 'range', 'actor', 'hash _ before/after').
5. ანგარიში Compliance/Data ბრძოლის დასრულების შემდეგ.

10) ინტეგრაცია შესაბამისობასთან (GDPR/AML/PCI/ISO)

GDPR: RoPA- ში მინიმიზაცია, მიზნები/საფუძვლები; DSAR წვდომა; 72 საათიანი შეტყობინებები ეყრდნობა აუდიტს.
AML: სანქციების შემოწმების ლოგოების შენახვა, STR/SAR ბმულები; ვადები 5-10 წელი (ქვეყანაში).
PCI DSS (თუ გამოიყენება): მგრძნობიარე ავთენტიფიკაციის მონაცემების აკრძალვა; გადახდის პერიმეტრის ლოგოების სეგრეგაცია.
ISO 27001/ISMS: ლოჯისტიკური პოლიტიკა, როგორც სავალდებულო დოკუმენტი; წლიური აუდიტი და ტესტები.

11) ვენდორები და ქვე-პროცესორები

DPA/SLA: დანიშნეთ შენახვის დრო, გეოგრაფია, TOMs, ექსპორტის ფორმატი, WORM/Legal Hold, ინციდენტის რეაქციის დრო.
აუდიტი: კითხვარები, PII წვდომის ნიმუშის ლოგოები, ინციდენტის/შეტყობინებების ტესტი.
ოფბორდი: ლოგოების მოცილება/დაბრუნება, დახურვის აქტი, ასლების/ბეკების განადგურების დადასტურება.

12) მონიტორინგი და ალერტა

KRIs: ვალიდაციის უკმარისობის ზრდა> X%, ინვესტიციის ლაგამი> Y, წარუმატებელი ETL <99%, ფანჯრის გარეთ წვდომის მცდელობები.
KPI: ლოჯარიზაციის დაფარვა სერვისების 95% -ს შეადგენს; MTTD უარი თქვა paypline- ზე 15 წუთის განმავლობაში; Hot- ის მოთხოვნის წილი 2 წამში დასრულდა - 95% -ით.
SOAR: tickets მანქანები retenshn/წვდომის/ნიღბის დარღვევის დროს.

13) RACI

14) ექსპორტი და ანგარიშგებები

მიმღებისა და ფორმატის თეთრი სიები (CSV/Parquet/JSON) ნაგულისხმევი ანესთეზიით.
თითოეული არქივის ხელმოწერა/ჰაში, გადმოტვირთვის ჟურნალი.
მარეგულირებელი მოხსენებების შაბლონები: სანქციების შესახებ ანგარიშები/REP, KYC, AML ალერტები, PII წვდომა, ინციდენტები.

15) შემუშავებისა და ექსპლუატაციის მოთხოვნები

აზრი არ აქვს: ძირითადი მოქმედებები/გადაწყვეტილებები და არა ყველა ტრაფიკი.
დონის სტანდარტები: 'DEBUG' აკრძალულია; 'INFO' ბიზნეს მოვლენებისთვის; 'WARN/ERROR' ანომალიებისთვის.
Redaction-middleware: ერთი ნიღბიანი ფენა გეითვეიში/SDK.
ტესტის გარემო: სინთეზური მონაცემები ან ფსევდონიმი; დამატებითი ლოგოების ასლების აკრძალვა dev- ში.
გამოშვებები: ლოგისტიკური/შენიღბვის ჩეკების სია CAB- ში; გაფართოებული ლოგისტიკური დროშები.

16) ჩეკის ფურცლები

16. 1 ყოველკვირეული კონტროლი

• დროის სინქრონიზაცია დრიფტის გარეშე
• შეცდომები ingestion <ბარიერი
• არ არსებობს პირდაპირი PII/საიდუმლოებები სემპლარებში
• წვდომა/როლები აქტუალურია
• ETL- ის წარმატება 99% -ს შეადგენს

16. 2 ყოველთვიური აუდიტი

• ჭრის/წაშლის შემოწმება
• ექსპორტის შემთხვევითი ნიმუში (ხელმოწერა/ჰაში)
• ვენდორების შურისძიება (წვდომის ლოგოები, ინციდენტები)
• სქემების/საცნობარო წიგნების განახლება

16. 3 წაშლამდე/არქივში

• არ არსებობს იურიდიული ჰოლდი/ინციდენტი
• დაკავშირებული არტეფაქტების ექსპორტი (საჭიროების შემთხვევაში)

შეიქმნა განადგურების პროტოკოლი

17) ლანდშაფტის ინციდენტები (სწრაფი playbook)

ნაპოვნია PII/საიდუმლოებები ლოგოებში, დაუყოვნებლივ ჩართეთ redaction წესები, შეზღუდეთ წვდომა, გაწმენდა/გასაღების როტაცია, შეაფასეთ მასშტაბები (DPO/Legal), საჭიროების შემთხვევაში, შეტყობინებები.
ლოგოების paypline- ის უარყოფა - ბუფერიზაციაზე გადასვლა, alert SRE, restart ungestion, პოსტ-mortem.

18) გზის განხორციელების რუკა

კვირები 1-2: წყაროების ინვენტარიზაცია, ვადების კოორდინაცია, ძირითადი რეტენის მატრიცა, სქემა-კოდი.
კვირები 3-4: შენიღბვის/რედაქციის დანერგვა, ინდექსების გამიჯვნა PII, NTP/trace იდენტიფიკატორებთან, WORM კრიტიკული კომპლექტებისთვის.
თვე 2: მოცილების/არქივების ავტომატიზაცია, KRIs/KPIs და ალერტები, SOAR ფლეიბუკები.
თვე 3 +: მოვაჭრეების აუდიტი, ღირებულების ოპტიმიზაცია, ვადების გადახედვა და იურისდიქციის მოთხოვნები.

TL; DR

საერთო ლოგიკის პოლიტიკა = მკაფიო დროის მატრიცა + შენიღბვა და დაშიფვრა + RBAC და წვდომის აუდიტი + WORM/Legal Hold + ხარისხის და დროის სინქრონიზაცია. ეს ამცირებს რისკებს (GDPR/AML/PCI), ამცირებს შენახვის ღირებულებას და აჩქარებს გამოძიებას.