Audit Trail: операцияларды қадағалау

1) Audit trail дегеніміз не және ол не үшін қажет

Audit trail - бұл жүйелермен және деректермен операциялар туралы дәлелденетін оқиғалар тізбегі: кім, не, қайда, қашан және қандай тәсілмен, қандай нәтижемен және қандай сұрау/тикет негізінде жасады.

• Реттеушілер мен аудиторларға арналған дәлелдер (evidence).
• Тергеу және ден қою (инциденттердің таймлайн, root cause).
• Саясаттың орындалуын растау (SoD, ретенция, жою/анонимдеу).
• Үшінші тараптар мен субпроцессорларды қадағалау.

2) Қамту аумағы (ең аз жиынтық)

Сәйкестіктер мен қолжетімділіктер (IAM/IGA): логин/логут, рөлдерді беру/қайтарып алу, артықшылықтарды күшейту, JIT-қолжетімділік.
Деректер және құпиялылық: PI өрістерін оқу/өзгерту, түсіру, бүркемелеу, жою/TTL, Legal Hold.
Қаржы/транзакциялар: құру/жаңарту/жою, лимиттер, реверсалдар, антифрод-әрекет.
Инфрақұрылым/бұлт: конфигурацияларды өзгерту, құпиялар, кілттер, KMS/HSM операциялары.
SDLC/DevSecOps: құрастыру, деплой, сәйкестік гейтс, кітапхана тарту (SCA), құпия-сканер.
Операциялар/ITSM: инциденттер, өзгерістер, релиздер, эскалациялар, DR/BCP тесттер.
/ 3rd-party: кіріс/шығыс қоңыраулары, қолтаңба, валидация қорытындылары.

3) Оқиға моделі (каноникалық формат)

json
{
"ts": "2025-11-01T11:23:45.678Z",
"env": "prod",
"tenant": "eu-1",
"system": "iam",
"domain": "access",
"actor": {"type":"user","id":"u_123","source":"sso","ip":"0.0.0.0"},
"subject": {"type":"role","id":"finance_approver"},
"action": "grant",
"reason": "ITSM-12345",
"result": "success",
"severity": "info",
"labels": {"jurisdiction":"EEA","pii":"no","sod_check":"passed"},
"trace": {"request_id":"r_abc","trace_id":"t_456","span_id":"s_789"},
"integrity": {"batch":"b_20251101_11","merkle_leaf":"..."}
}

Міндетті өрістер: 'ts, actor, action, subject, result'.
Ұсынылатын: 'reason (тикет/бұйрық), trace_id/request_id, tenant, jurisdiction'.

4) Сапа және семантика қағидаттары

Қатаң құрылымдалған: тек JSON/OTel; өрістер мен іс-әрекет кодтарының бірыңғай сөздігі.
Уақытты үндестіру: NTP/PTP, сақтау 'ts' және 'received _ at'.
Корреляция: 'trace _ id '/' request _ id' өтпелі трасса үшін.
Жазбалардың ұқсастығы: батчалардың детерминирленген кілттері, қосарланудан қорғау.
Акторлардың қалыпқа келуі: аутентификация көзі бар адам/сервис/бот/вендор.

5) Audit trail архитектурасы

1. Producers: бағдарламалар, платформалар, бұлттар, хост агенттері.
2. Коллекторлар/шина: сенімді жеткізу (TLS/mTLS, ретра, back-pressure, дедуп).
3. Байыту/қалыпқа келтіру: бірыңғай схемалар, рөлдердің/юрисдикциялардың маппингі.

• Ыстық (іздеу/талдау) - 30-90 күн.
• Суық (объект/мұрағат) - нормаларға байланысты 1-7 жыл.
• WORM/Object Lock - дәлелденген өзгермеушілік.
• 5. Тұтастығы: батчалардың, хеш тізбектерінің қолы, күнделікті анкеринг (меркли-тамырлар).
• 6. Қол жеткізу: RBAC/ABAC, case-based access (тек кейс шеңберінде ғана қол жеткізу).
• 7. Талдау/алерталар: SIEM/SOAR, корреляциялар, мінез-құлық қағидалары.
• 8. Оқиғалар каталогы: схемалар нұсқасы, әрекеттер анықтамалығы, схемалар сынақтары.

6) Өзгермейтіндігі және заңдық маңыздылығы

WORM/Object Lock: Ретенция мерзіміне өшіруге/қайта жазуға тыйым салу.
Криптографиялық бекіту: батч SHA-256, меркли-ағаштар, сыртқы анкеринг (кесте бойынша).
Chain of Custody: логға қатынау журналы (кім және қашан оқыды/экспорттады), есептердегі хеш түбіртектері.
Тұрақты верификация: тұтастығын тексеру міндеттері; рассинхронизация кезіндегі алерт.

7) Жекешелендіру және барынша азайту

PI-ді барынша азайтыңыз: хэштерді/белгілерді логиндеу, өрістерді жасыру (email/phone/IP).
Мазмұн орнына контекст: толық емес payload «операция фактісін» белгілеңіз.
Юрисдикциялар мен шекаралар: ел бойынша сақтау (data residency), трансшекаралық беру үшін белгілер.
DSAR және деперсонализация: жылдам іздеуге арналған белгілер, бүркемеленіп экспорттау.

8) Кіруді басқару (audit trail кім көреді)

RBAC/ABAC: талдаушы минимумды көреді; тек өтінім/кейс бойынша экспорт.
Case-based access: тексеру/аудит → журналдау арқылы уақытша кіру.
Segregation of Duties: жүйе әкімшілеріне өз іздерін реттеуге тыйым салу.
Ай сайынғы аттестаттау: re- certification оқу/экспорт құқықтары.

9) Ретенция, Legal Hold және жою

Сақтау кестелері: домендер мен нормалар бойынша (мысалы, қол жетімділік - 1 жыл, қаржылық операциялар - 5-7 жыл).
Legal Hold: тиісті оқиғаларды дереу мұздату, TTL-ден басымдығы бар.
Жойылғанын растау: жойылған партиялардың хеш-мәліметі бар есеп.
3rd-party үшін өтпелі ретенция: сақтауға/қол жеткізуге/жоюға келісілген SLA.

10) Дашбордтар және есептер

Coverage: қандай жүйелер/юрисдикциялар жабылған; бос орындар.
Integrity/WORM: анкеринг және тұтастықты тексеру күйі.
Access to Audit Trail: кім көреді/не экспорттайды; аномалиялар.
Change & Admin Activity: сезімтал әрекеттер (артықшылықтар, кілттер, құпиялар).
Privacy Lens: PI, DSAR/өшіру, Legal Hold.
Compliance View: «түймешігі бойынша» аудитке/сұрауларға дайындығы.

11) Метрика және SLO

Ingestion Lag p95 ≤ 60 сек.
Drop Rate = 0 (алерт> 0. 001%).
Schema Compliance ≥ 99. 5%.
Integrity Pass = 100% тексерулер.
Coverage Critical Systems ≥ 98%.
Access Review SLA: 100% ай сайынғы құқық аттестациясы.
PII Leak Rate: 0 маңызды audit trail.

12) SOP (стандартты рәсімдер)

SOP-1: Көзді қосу

1. Дереккөз пен сындылықты тіркеу → 2) схеманы/OTel → 3) TLS/mTLS, кілттер → 4) dry-run (схемаларды/маскаларды валидациялау) → 5) шығарылым → 6) каталогтар мен дашбордтарға қосу.

SOP-2: Реттеуші сауалға жауап/аудит

Кейсті ашу → нысандар/кезең бойынша оқиғаларды сүзу → хеш-түбіртегі бар экспорт → legal review → ресми арна арқылы жіберу → WORM архивтеу.

SOP-3: Оқиға (DFIR)

Freeze (Legal Hold) → trace_id бойынша таймлайн → артефактілерді алу (негізгі әрекеттер) → дәлелдемелері бар есеп → CAPA және детекцияларды жаңарту.

SOP-4: TTL бойынша жою

Жойылуға дайын батшаларды сәйкестендіру → жоқ Legal Hold → жою → жою есебін хеш-жиынтықпен жасау.

13) Ережелердің/сұрау салулардың үлгілері

Артықшылықтардың қатер шегіндегі күшеюін іздеу (SQL-жалған)

sql
SELECT ts, actor.id, subject.id
FROM audit_events
WHERE domain='access' AND action='grant'
AND subject.id IN ('admin','db_root','kms_manager')
AND reason NOT LIKE 'ITSM-%'
AND ts BETWEEN @from AND @to;

SoD ережесі (псевдо-Rego)

rego deny_if_sod_conflict {
input.domain == "access"
input.action == "grant"
input.subject.id == "payment_approver"
has_role(input.actor.id, "payment_creator")
}

DSAR сүзгісі (JSONPath)

$.events[?(@.domain=='privacy' && @.action in ['dsar_open','dsar_close','delete'])]

14) Нормативтерге (бағдарларға) арналған мэппинг

GDPR (Art. 5, 30, 32, 33, 34): іс-қимылдарды барынша азайту, есепке алу жазбалары, өңдеу қауіпсіздігі, инцидент-хабарламалар; DSAR/жою/Legal Hold.
ISO/IEC 27001/27701: A.12/A. 18 - журналдандыру, дәлелдемелерді басқару, құпиялылық.
SOC 2 (CC6/CC7/CC8): қолжетімділікті бақылау, мониторинг, инциденттерді өңдеу, логтардың тұтастығы.
PCI DSS (10. x): карталар мен жүйелердің деректері бойынша әрекеттердің трассалануы, күнделікті шолу, журналдардың тұтастығы.

15) Басқа функциялармен интеграциялау

Compliance-as-Code/CCM: саясат тестілері орындалады және хаттамаланады; алерталар - ауытқуларға.
RBA (тәуекел-аудит): audit trail деректері бойынша іріктемелер мен реформалар.
Vendor Risk: шарттардағы аудит және экспорт құқықтары; мердігерлердегі айналы ретенция.
Policy Lifecycle: талаптарды өзгерту → жаңа ережелер мен схемалар өрістерін автогенерациялау.

16) Антипаттерндер

Схемасыз және семантикасыз «еркін мәтін».
Оқиғаны тикетпен/негіздемемен байланыстыру мүмкін емес (reason).
Кейссіз және оқуға логинсіз «барлығына» қатынау.
WORM/қолтаңбаның болмауы - дәлелдемелердің даулылығы.
Уақытша аймақтар мен рассинхронды араластыру 'ts '/' received _ at'.
Хеш/маскалардың орнына «толық» PI/құпияларды логирлеу.

17) Жетілу моделі (M0-M4)

M0 Қолмен: бытыраңқы логтар, толық қамтылмаған, ретенциясы жоқ.
M1 Орталықтандырылған жинау: базалық іздеу, ішінара бірыңғай пішім.
M2 Басқарылатын: оқиғалар каталогы, код ретінде схемалар, ретенция/Legal Hold, RBAC.
M3 Assured: WORM+анкеринг, case-based access, KPI/SLO, auto-evidence.
M4 Continuous Assurance: өтпелі трассировка (trace), болжамды детекциялар, «кнопка бойынша audit-ready».

18) Байланысты wiki баптары

Журналдар мен хаттамаларды жүргізу

Үздіксіз сәйкестік мониторингі (CCM)

KPI және комплаенс өлшемдері

Legal Hold және деректерді мұздату

Саясаттар мен рәсімдердің өмірлік циклі

Комплаенс-шешімдер коммуникациясы

Комплаенс саясатындағы өзгерістерді басқару

Due Diligence және аутсорсинг тәуекелдері

Жиынтық

Күшті audit trail - бұл құрылымдалған, өзгермейтін және нақты қолжетімділігі «кейс бойынша», толассыз трассировкасы және басқарылатын ретенциясы бар контекстік оқиғалар. Мұндай жүйе тексерулерді жеделдетеді, тексерулерді болжауға болады және комплаенсті қайталанатын, өлшенетін процеске айналдырады.