Сәйкестіктің үздіксіз мониторингі

1) Сәйкестіктің үздіксіз мониторингі дегеніміз не?

• Қолмен тексеруді және адам факторын азайту.
• TTD/MTTR бұзушылықтарды қысқарту.
• Кез келген уақытта «audit-ready» күйін қамтамасыз ету.
• policy-as-code арқылы өзгерістерді енгізуді жылдамдату.

2) CCM қамту аясы (scope)

Қолжетімділік және сәйкестілік (IAM/IGA): SoD, артық рөлдер, «иесіз қолжетімділік».
Деректер және құпиялылық: ретенция/TTL, бүркемелеу, Legal Hold, DSAR-SLA.
Инфрақұрылым/бұлт/IaC: конфигурация дрейфі, шифрлау, сегменттеу.
Өнім/код/CI-CD: репозиторийлердегі құпиялар, SCA/SAST/DAST, OSS лицензиялары.
Транзакциялар/AML: санкциялық/РЕР-скрининг, ауытқу ережелері, STR/SAR.
Операциялар: аудит журналдары, резервтеу және қалпына келтіру, осалдықтар.

3) CCM референс-сәулеті

1. Сигналдарды жинау: агенттер мен коннекторлар (бұлт, ДБ, логтар, SIEM, IAM, CI/CD, DLP, почта/чат-мұрағаттар).

2. Қалыпқа келтіру және байыту: оқиғалар шинасы (Kafka/Bus) + ETL/ELT Compliance витриналарына.

3. Код сияқты саясат (CaC): YAML/Rego репозиторийі/нұсқалары, тесттері және ревю бар саясат.

4. Ережелер қозғалтқышы (stream/batch): бұзушылықтарды, басымдықты және тәуекел жылдамдығын есептейді.

5. Оркестрлеу: тикетинг/SOAR + RACI бойынша эскалация, авто-remediation, SLA ұстамы.

6. Evidence/WORM: өзгермейтін артефактілер (логтар, конфигурация суреттері, есептер).

7. Дашбордтар және есептілік: heatmap, KPI/SLO, реттегіш түсіру.

4) Саясат-сияқты-код: шағын схемалар

yaml id: IAM-SOD-007 title: "Prohibition of toxic combination of roles: finance_approver + vendor_onboarder"
scope: ["iam:"]
detect:
query: iam_sod_violations_last_1h. sql severity: high notify: ["GRC","SecOps"]
remediate:
playbook: revoke_extra_role sla:
detect_minutes: 15 remediate_hours: 24 evidence:
sink: s3://evidence/iam-sod/dt={{ts}}
owners: ["IGA","FinanceOps"]

yaml id: GDPR-RET-001 title: "TTL 24м для PI; LegalHold priority"
rule: "object. age_months <= 24          object. legal_hold == true"
detect:
job: retention_scan_daily sla: { detect_minutes: 60, remediate_days: 7 }

5) Нормативтер бойынша үлгілік бақылаулар

6) Метрика және SLO

Coverage:% мониторинг жүйелері/деректері (мақсаты ≥ 90%).
MTTD/MTTR бақылау: детекторға/жоюға дейінгі орташа уақыт.
Drift Rate: конфигурация дрейфі/ай.
False Positive Rate: ережелер бойынша жалған іске қосылулар үлесі.
Audit Readiness Time: evidence дайындау уақыты (мақсаты - сағат).
DSAR SLA:% уақытында жабылған; медиа жауап.
Access Hygiene: ескірген құқықтардың үлесі; SoD бұзушылықтарын жабу.

7) CCM процестері (SOP)

1. Талаптарды сәйкестендіру → «норматив → бақылау → метрика» матрицасы.
2. Ережелерді жобалау → policy-as-code, тесттер, PR/ревью, нұсқалау.
3. → staging-валидациялау, содан кейін feature-жалаушасымен prod.
4. Мониторинг және алерта → басымдылық (sev/impact), шуды азайту, дедупликация.
5. Remediation → авто-плейбуктер + иелеріне билеттер; SLA эскалациясы.
6. Evidence → мерзімді суреттер; WORM/immutability; хеш-мәліметтер.
7. Қайта бағалау → ережелердің тоқсан сайынғы тюнингі, FPR/TPR, A/B салыстырмаларын талдау.
8. Бақылау иелерін оқыту → онбординг, нұсқаулықтар және ерекшеліктер каталогтары (waivers).

8) Алертаның өмірлік циклі

Detect → Triage → Assign → Remediate → Verify → Close → Learn.
Әрбiр қадам үшiн: иесi, мерзiмi, қабылданған шаралар, дәлелдемелердiң артефактiлерi тiркеледi.

9) Интеграция

GRC - талаптар, тәуекелдер, бақылаулар, ревью науқандары, артефактілерді сақтау.
SIEM/SOAR - оқиғаларды корреляциялау, автоматты ойнатқыштар.
IAM/IGA - аттестаттау, SoD, RBAC/ABAC, қолжетімділіктің өмірлік циклі.
CI/CD/DevSecOps - сәйкестік гейттері, SAST/DAST/SCA, құпия-сканер.
Data Platform - «Compliance» витриналары, каталог/lineage, бүркемелеу.
DLP/EDRM - сезімталдық белгілері, эксфильтрациялауға тыйым салу, журналдар.
Ticketing/ITSM - SLA, эскалациялар, иелері мен командалары бойынша есептер.

10) Дашбордтар (ең аз жиынтық)

Compliance Heatmap (жүйелер × нормативтер × мәртебе).
SLA Center (DSAR/AML/PCI/SOC2 мерзімдер, кешіктірулер).
Access & SoD (уытты рөлдер, «ұмыт қалған» қолжетімділіктер).
Retention & Deletion (TTL-бұзушылықтар, Legal Hold бұғаттауы).
Infra/Cloud Drift (IaC/нақты жағдайға сәйкес келмеуі).
Incidents & Findings (қайталау трендтері, remediation тиімділігі).

11) Ереже үлгілері (SQL/жалған)

sql
SELECT user_id, dataset, created_at
FROM pi_objects
WHERE age_months(created_at) > 24
AND legal_hold = false;

sql
SELECT u. id, r1. role, r2. role
FROM user_roles r1
JOIN user_roles r2 ON r1. user_id = r2. user_id
JOIN users u ON u. id = r1. user_id
WHERE r1. role = 'finance_approver' AND r2. role = 'vendor_onboarder';

12) Рөлдер және RACI

13) Ерекшеліктерді басқару (waivers)

Негіздемесі және мерзімі көрсетілген ресми сұрау салу.
Тәуекел-бағалау және өтемдік бақылау.
Қайта қарау туралы авто ескерту.
Есептілікте көрсету (аудитор үшін ашықтық).

14) CCM құпиялылық және қауіпсіздік

Витриналар мен логтардағы деректерді барынша азайту (PII-редакция).
Міндеттерді бөлу, ең аз артықшылықтар.
Immutability (WORM/S3 Object Lock) для evidence.
Есептерді (хеш-тізбектерді) криптографиялық бекіту.
Артефактілерге қол жеткізуді бақылау және журналға түсіру.

15) Чек парақтары

CCM жегу

• «Норматив → бақылау → метрика» матрицасы келісілді.
• Негізгі сигнал көздері қосылған.
• Саясаткерлер кодпен сипатталған, тестілермен және ызамен жабылған.
• Дашбордтар мен алерталар қосылған; SLO/SLA анықталған.
• evidence (immutability) архиві теңшелді.
• Иелері оқытылды; waivers процесі анықталған.

Аудит алдында

• Саясаттар мен өзгерістердің нұсқалары жаңартылды.
• Жүргізілген dry-run таңдау evidence.
• Remediation мерзімін өткізіп алу және ерекшеліктер жабық.
• Coverage/MTTD/MTTR/Drift өлшемдері салыстырылды.

16) Антипаттерндер

Тұрақты бақылаулардың орнына «Аудитке тексерулер».
Шулы ережелер басымдылықсыз және дедупликациясыз.
Нұсқалау мен тестерсіз саясат.
Иелері мен SLA-сыз мониторинг.
Evidence өзгеретін жерлерде/хеш-фиксациясыз.

17) Жетілу моделі CCM (M0-M4)

M0 Қолмен: спорадикалық тексерулер, Excel есептері.
M1 Аспаптық: ішінара телеметрия, бір реттік ережелер.
M2 Автодетект: тұрақты тексерулер, базалық SLO және алерттар.
M3 Orchestrated: SOAR, авто-remediation, «audit-ready» кез келген күні.
M4 Continuous Assurance: SDLC/өнімдегі тексерулер + аудитордың өзіне-өзі қызмет көрсетуі.

18) Байланысты wiki баптары

Комплаенс пен есептілікті автоматтандыру

Legal Hold және деректерді мұздату

Privacy by Design және деректерді азайту

Деректерді сақтау және жою кестелері

PCI DSS/SOC 2: бақылау және сертификаттау

Инцидент-менеджмент және форензия

Жиынтығы

CCM - бұл ұйымның «сәйкестік пульсі»: саясаткерлер кодпен көрсетіледі, сигналдар үздіксіз ағады, бұзушылықтар бірден көрінеді, дәлелдемелер автоматты түрде жиналады, ал аудит өртке емес, операциялық жүйеге айналады.