Дәлелдемелер мен құжаттаманы сақтау

1) Мақсаты мен нәтижелері

• Артефактілердің заңдық тұрғыдан маңызды өзгермейтіндігі (immutable evidence).
• Трассалануы: кім, қашан, неге жасады/өзгертті/оқыды.
• «Түймешік бойынша» аудитке дайындығы («audit pack» репликаланатын).
• Құпиялылық пен ретенцияны сақтау (TTL, Legal Hold, жою/анонимдеу).
• Құқықтар мен жауапкершіліктің бірыңғай контуры (RACI) және сапа метригі.

2) Артефактілердің таксономиясы (мұны дәлел деп санаймыз)

Техникалық: қолжетімділік логтары және әкімшілік әрекеттер, сканерлердің қорытындылары (SAST/DAST/SCA), құпия сканерлеу есептері, SOAR-журналдар, IaC/бұлттар дрейфі, конфигурация бэкаптары, KMS/HSM-тректер.
Операциялық: ITSM тикеттері/инциденттер/өзгерістер, пост-мортем хаттамалары, DR/BCP-тесттер актілері, қол жеткізу ревизияларының есептері (re-cert).
Құқықтық және реттеуші: нұсқалар журналы бар саясат/стандарттар/SOP, DPA/SLA/аддендумдар, реттеушілерге хабарламалар, сауалдарға жауаптар, САРА/ремедиация.
Құпиялылық және деректер: өңдеу тізілімдері, DSAR-кейстер, жою/анонимдеуді растау, ретенция кестелері, Legal Hold журналдары.
Вендорлар/үшінші тараптар: Due Diligence нәтижелері, сертификаттар (SOC/ISO/PCI), пентесттер есептері, SLA сәйкестігі.
Қаржылық-бақылау: AML/STR есептері, лимиттер және ерекшеліктер, SoD растаулары.

3) Қағидаттар (design tenets)

Immutability by default: WORM/Object Lock, сақтау кезеңінде қайта жазуға тыйым салу.
Integrity & Authenticity: хеш-тізбектер, меркли-тамырлар, сандық қолтаңба және уақыт белгілері.
Minimal & Purpose-bound: тек қажетті деректер, бүркемелеу/бүркемелеу.
Case-based access: кейс пен рөлге қатынау, толассыз оқу/экспорт журналы.
Policy-as-Code: ретенция/Legal Hold/артефактілер сыныптары - ережелер репозиторийінде.
Auditability: хеш-түбіртектері бар ойнатылатын есептер мен «audit pack».

4) Рөлдер және RACI

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

5) Сақтау орнының архитектурасы (референс)

1. Қабылдау аймағы (ingest): сенімді шина, mTLS, ретра, дедупликация, метадеректерді қалыпқа келтіру (JSON).
2. Ыстық сақтау орны: жылдам іздеу/есептер (30-90 күн).
3. Суық сақтау орны: объектілік/мұрағаттық (1-7 жас), эконом класс.
4. WORM/Object Lock-контур: бакет/нысан саясатымен өзгермейтін дәлелдемелер мұрағаты.
5. Тұтастығы: хеш-батчи, меркли-ағаштар, мерзімді анкеринг; тексеру журналы.
6. Артефактілердің каталогы/MDM: түрлері, схемалары, иелері, TTL, іздеудің негізгі өрістерінің тізілімі.
7. Қолжетімділік: RBAC/ABAC + case-based access; хеш-түбіртегі бар экспорт; сезімтал жиынтықтар үшін екі мүшелік бақылау.
8. Репликация және DR: геораспределение, RTO/RPO мақсаттары, қалпына келтіруді тұрақты тексеру.

6) Код сияқты саясат (YAML-мысал)

yaml id: EVD-RET-001 title: "Retention and Legal Hold (evidence)"
classes:
- name: "security_logs"
hot_days: 30 cold_days: 365 worm_years: 3
- name: "contracts_dpa"
hot_days: 0 cold_days: 2555  # ~7 лет worm_years: 7 legal_hold:
enabled: true override_ttl: true privacy:
mask_fields: ["email","phone","ip","account_id"]
export_policy: "case_based"
verification:
integrity_check: "daily"
anchor_cadence: "hourly"

7) Сақтау тізбегі (Chain of Custody)

Сәйкестендіру: нысанның бірегей ID, дереккөз, схеманың нұсқасы.
Бекіту: хеш SHA-256/512, пакеттің қолы, уақыт мөртабаны.
Көлік: манифесттер журналы (кім/қашан жүктеді/верификациялады).
Қол жеткізу: барлық оқылымдарды/экспорттарды есепке алу; кейс/тикетке сілтеме.
Есептілік: хеш-түбіртектер, верификация хаттамалары, салыстыру нәтижелері.

8) Ретенция, Legal Hold және жою

Артефактілер мен юрисдикциялар сыныптары бойынша сақтау кестелері.
Реттегіштің тосын оқиғалары/сұраулары кезінде Legal Hold - жоюды «қатыру».
TTL бойынша жою - тек белсенді Hold жоқтығын автоматты түрде тексергеннен кейін.
Жою туралы есеп - нысандар тізімі + біріктірілген хеш-мәліметтер.
Вендордың оффбордингі - айналы ретенция, жойылғанын растау.

9) Жекешелендіру және барынша азайту

Scope-минимум: «толық payload» емес, мәтінмәнді сақтау.
Сезімтал өрістерді бүркемелеу/бүркемелеу; қайта сәйкестендірудің бөлек кілттері.
«кейс бойынша» қатынау: DSAR/инцидент үшін - журналмен уақытша құқықтар.
Трансшекаралық: сақтау/өңдеу елінің анық белгілері; көшірмелерді бақылау.

10) «Audit pack» (құрылым)

1. Ұйымның сипаттамасы және RACI.
2. Саясат/стандарттар/SOP (өзекті нұсқалар + changelog).
3. Жүйелер мен бақылаулардың картасы + нормаларға/сертификаттауға арналған мэппинг.
4. KPI/KRI өлшемдері және кезең есептері.
5. Іріктеме бойынша артефактілер: логи, конфиги, сканерлер, DR/BCP, қолжетімділікті тексеру.
6. Vendor-досье: DPA/SLA, сертификаттар, пентест-есептер.
7. САРА/ремедиация: мәртебесі, жабылуының дәлелі.
8. Пакеттің хеш-түбіртегі және оған қол жеткізу журналы.

11) Метрика және SLO

Integrity Pass: 100% сәтті хеш тізбектерін тексеру.
Anchor Freshness p95: ≤ және верификация арасында 2 сағат.
Coverage: evidence каталогындағы күрделі жүйелердің 98% -ын ≥.
Access Review SLA: 100% мұрағат құқығын ай сайынғы қайта аттестаттау.
Legal Hold Lag: Hold орнатқанға дейін 15 минуттан ≤.
Export SLA («audit pack»): толық жиынтықты беруге 8 сағаттан ≤.
PII Leak Rate: мұрағаттарда 0 сыни жылыстау.

12) Дашбордтар (ең аз жиынтық)

Integrity & WORM: анкеринг күйі, Object Lock, тексеру қателері.
Coverage & Catalog: артефактілер, «тесіктер», жетім объектілер сыныптарын қамту.
Access & Exports: кім не оқыды/түсірді, ауытқулар, SoD-қақтығыстар.
Retention & Hold: TTL таймерлері, белсенді Legal Hold, жою кестесі.
Vendor Mirror: мердігерлердің айналық ретенциясының жай-күйі.
Audit Readiness: «батырмамен» дайындық және SLA дейінгі уақыт.

13) SOP (стандартты рәсімдер)

SOP-1: Дәлелдерді жүктеу

1. Дереккөзді тіркеу → 2) қалыпқа келтіру/схема → 3) хеш және қолтаңба →

2. WORM аймағына жазу → 5) верификация және анкеринг → 6) каталогты жаңарту.

SOP-2: «audit pack» дайындау

Кейс ашу → таңдау бойынша артефактілер тізімін жинау → пакет жасау → хеш-түбіртек жасау → legal review → ресми арна арқылы беру → WORM-ге қол жеткізу және көшірме жазу.

SOP-3: Legal Hold

Hold бастамасын → сыныптар/кейстерді байлау → жою тапсырмаларын тоқтату → иелеріне хабарлау → барлық операцияларды журналға түсіру → Hold-ды Legal шешімі бойынша алып тастау.

SOP-4: TTL бойынша жою

Белсенді Hold тексеру → атомарлық жою → хеш жиынтығы бар есепті шығару → каталогты жаңарту.

SOP-5: Вендордың оффбордингі

Сақтаудың айна есебін сұрау → экспорт/беру → вендордың жойылғанын растау → верификация және анықтамалар мұрағаты.

14) Артефактінің метадеректері (минимумы)

UID, сынып, схеманың нұсқасы, көзі, иесі/контактілері.
Құрылған және жүктелген күні/уақыты, юрисдикциясы/сақтау аймағы.
Хеш/қолы/меркли-парағы және верификация тарихы.
TTL және Legal Hold мәртебесі.
Байланысты тикеттерге/кейстерге/саясаттарға сілтемелер.
Қол жеткізу/экспорттау тарихы.

15) Тұтастығын тексеру (алгоритм)

Күнделікті іріктеу → хеш санау → меркли түбірімен салыстыру → сәйкессіздіктер туралы есеп → тергеуге дейін даулы сегменттердің автоматты эскалациясы және «freeze».

16) Сапасы және тестілеу

Schema compliance ≥ 99. 5% (ауытқулар → қабылдауды бұғаттау).
Disaster Restore Drills - мұрағатты қалпына келтірудің тоқсандық тестілері.
Reperformability - реперформалар (есептердің қайталануы).
Versioned Playbooks - SOP және «audit pack» үлгілерін нұсқалау.

17) Антипаттерндер

Жоқ WORM/immutability → дау дәлелдемелер.
Схемасыз шикі мәтін → әлсіз іздеу/дәлдігі.
Каталог және иелері жоқ → «ешкімнің» жауапкершілігі.
Мұрағат «қойма» ретінде: метриктер/дашбордтар жоқ, DR-тесттер жоқ.
Мерзімі өтпеген мәңгілік ерекшеліктер (waivers).
Хеш-түбіртексіз және кіру журналынсыз экспорттау.
PI прод-деректерін артефактілерде барынша азайтусыз араластыру.

18) Жетілу моделі (M0-M4)

M0 Қолмен: бөлек қалталар, TTL/сақтау тізбегі жоқ.
M1 Каталог: артефактілердің бірыңғай тізілімі, базалық ретенция.
M2 Басқарылатын: WORM/Object Lock, IAM, Legal Hold, дашбордтармен интеграциялау.
M3 Assured: хеш-тізбектер, анкеринг, case-based access, түймешік бойынша «audit pack».
M4 Continuous Assurance: тұтастықты автоматты тексеру, болжамды тәуекелдер, вендорлардың айналы ретенциясы, толық DR-жаттығулар.

19) Байланысты wiki баптары

Журналдар мен хаттамаларды жүргізу

Audit Trail: операцияларды қадағалау

Legal Hold және деректерді мұздату

Деректерді сақтау және жою кестелері

Үздіксіз сәйкестік мониторингі (CCM)

KPI және комплаенс өлшемдері

Due Diligence және аутсорсинг тәуекелдері

Комплаенс саясатындағы өзгерістерді басқару

Реттеушілермен және аудиторлармен өзара іс-қимыл

Жиынтығы

Дәлелдемелерді сенімді сақтау - жай ғана «мұрағат» емес, басқарылатын және дәлелденетін өзгермейтін жүйе: WORM және хеш-тізбектер, қатаң ретенция саясаты және Legal Hold, «кейс бойынша» қолжетімділік, каталогтар мен метриктер, «audit pack» ойнатылатын және тұтастықты үнемі тексеретін жүйе. Мұндай жүйеде аудитті болжауға болады, тергеулер тез, ал тәуекелдер - бақылауда.