Śledzenie aktywności ścieżki audytu

1) Czym jest ścieżka audytu i dlaczego jest ona potrzebna

Ścieżka audytu to sprawdzalny łańcuch wydarzeń o działaniu z systemami i danymi: kto, co, gdzie, kiedy i w jaki sposób to zrobił, z jakim wynikiem i na podstawie jakiej prośby/biletu.

• Dowody dla organów regulacyjnych i audytorów.
• Badania i odpowiedź (linia czasu incydentów, przyczyna korzenia).
• Potwierdzenie realizacji zasad (SoD, retencja, usunięcie/anonimizacja).
• Nadzór nad osobami trzecimi i podwykonawcami przetwórstwa.

2) Zakres (minimalna rejestracja)

Tożsamość i dostęp (IAM/IGA): login/login, wydanie/cofnięcie ról, eskalacja uprawnień, dostęp JIT.
Dane i prywatność: czytanie/zmiana pól PI, przesyłanie, maskowanie, usuwanie/TTL, blokada prawna.
Finansowanie/transakcje: tworzenie/aktualizacja/anulowanie, limity, cofanie, działania w zakresie zwalczania nadużyć finansowych.
Infrastruktura/chmura: zmiany konfiguracji, sekrety, klucze, operacje KMS/HSM.
SDLC/DevSecOps: buduje, wdraża, dopasowuje bramy, pull-up biblioteki (SCA), tajne skanowanie.
Operacje/ITSM: incydenty, zmiany, uwolnienia, eskalacje, badania DR/BCP.
Webhooks/3rd-party: połączenia przychodzące/wychodzące, podpis, wyniki walidacji.

3) Model wydarzenia (format kanoniczny)

json
{
"ts": "2025-11-01T11:23:45.678Z",
"env": "prod",
"tenant": "eu-1",
"system": "iam",
"domain": "access",
"actor": {"type":"user","id":"u_123","source":"sso","ip":"0.0.0.0"},
"subject": {"type":"role","id":"finance_approver"},
"action": "grant",
"reason": "ITSM-12345",
"result": "success",
"severity": "info",
"labels": {"jurisdiction":"EEA","pii":"no","sod_check":"passed"},
"trace": {"request_id":"r_abc","trace_id":"t_456","span_id":"s_789"},
"integrity": {"batch":"b_20251101_11","merkle_leaf":"..."}
}

Wymagane pola to „ts, actor, action, subject, result”.
Zalecane: „powód (bilet/zamówienie), trace_id/request_id, najemca, jurysdykcja”.

4) Zasady jakości i semantyki

Ściśle ustrukturyzowany: tylko JSON/OTel; pojedynczy słownik pól i kodów akcji.
Synchronizacja czasu: NTP/PTP, store 'ts' i' received _ at '.
Korelacja to 'trace _ id'/' request _ id' for end-to-end odwzorowanie.
Idempotencja zapisów: klucze deterministyczne partii, ochrona przed duplikatami.
Normalizacja aktora: osoba/usługa/bot/sprzedawca ze źródłem uwierzytelniania.

5) Architektura ścieżki audytu

1. Producenci: aplikacje, platformy, chmury, agenci gospodarzy.
2. Kolektory/autobus: niezawodna dostawa (TLS/mTLS, retrai, back-pressure, dedup).
3. Wzbogacanie/normalizacja: jednolite systemy, odwzorowanie roli/jurysdykcji.

• Gorące (wyszukiwanie/analityka) - 30-90 dni.
• Zimno (obiekt/archiwum) - 1-7 lat, w zależności od norm.
• WORM/Object Lock - dowodowa immutability.
• 5. Integralność: podpis partii, łańcuchy hashes, codzienne kotwiczenie (merkly roots).
• 6. Dostęp: RBAC/ABAC, dostęp oparty na przypadku.
• 7. Analityka/wpisy: SIEM/SOAR, korelacje, zasady zachowania.
• 8. Katalog zdarzeń: wersja schematu, odniesienie do aktywności, testy schematu w CI.

6) Niezmienność i znaczenie prawne

WORM/Object Lock: zapobiegać usuwaniu/przepisywaniu przez czas trwania roszczenia.
Utrwalenie kryptograficzne: SHA-256 partie, drzewa merkly, kotwiczenie zewnętrzne (w harmonogramie).
Łańcuch przechowywania: dziennik dostępu do dziennika (kto i kiedy jest odczytywany/eksportowany), potwierdzenia skrótu w raportach.
Regularna weryfikacja: zadania integralności; alert podczas desynchronizacji.

7) Prywatność i minimalizacja

Zminimalizuj PI: hashes/tokens dziennika, pola maski (email/phone/IP).
Kontekst zamiast treści: przechwytywanie „rzeczywistej operacji”, nie pełny ładunek użytkowy.
Jurysdykcje i granice: przechowywanie w podziale na państwa (miejsce zamieszkania danych), znaki transgranicznego przekazywania danych.
DSAR i depersonalizacja: etykiety do szybkiego wyszukiwania, eksport z maskowaniem.

8) Kontrola dostępu (kto widzi ścieżkę audytu)

RBAC/ABAC: analityk widzi minimum; eksport wyłącznie według wniosku/przypadku.
Dostęp oparty na przypadku: dochodzenie/audyt → tymczasowy dostęp z rejestrowaniem.
Segregacja obowiązków: zakazanie administratorom systemu edycji własnych śladów.
Miesięczna certyfikacja: ponowna certyfikacja praw do odczytu/eksportu.

9) Retension, Legalne trzymanie i usuwanie

Harmonogram przechowywania: według domen i norm (na przykład dostęp - 1 rok, transakcje finansowe - 5-7 lat).
Blokada prawna: natychmiastowe zamrożenie istotnych wydarzeń, priorytet nad TTL.
Potwierdzenie usunięcia: raport ze skrótem skrótu usuniętych partii.
Zatrzymanie końcowe dla strony trzeciej: umowne przechowywanie/dostęp/usuwanie SLA.

10) Deski rozdzielcze i raporty

Zakres: które systemy/jurysdykcje są objęte; przestrzenie.
Integralność/WORM - status kontroli kotwiczenia i integralności.
Dostęp do ścieżki audytu: Kto obserwuje/Co eksportuje; anomalie.
Zmiana i działanie administratora: działania wrażliwe (uprawnienia, klucze, sekrety).
Obiektywy prywatności: Wydarzenia nad PI, DSAR/usunięcia, blokada prawna.
Widok zgodności: gotowość „według przycisku” do audytów/żądań.

11) Metryka i SLO

Spożycie Lag p95 ≤ 60 s

Wskaźnik spadku = 0 (alert> 0. 001%).
Schemat zgodności ≥ 99. 5%.
Przepustka integralności = 100% kontroli.
Krytyczne systemy zasięgu ≥ 98%.
Dostęp Przegląd SLA: 100% miesięcznych ocen uprawnień.
Wskaźnik przecieku PII: 0 krytycznych w ścieżce audytu.

12) SOP (standardowe procedury)

SOP-1: Połączenie źródłowe

1. Rejestracja źródła i krytyki → 2) wybór/OTel → 3) schemat TLS/mTLS, klucze → 4) suchy-run (walidacja schematów/masek) → 5) wydanie do produkcji → 6) włączenie do katalogów i desek rozdzielczych.

SOP-2: Odpowiedź na wniosek/audyt regulacyjny

Otwórz sprawę → filtr zdarzeń według obiektu/okresu → eksport z potwierdzeniem hash → przegląd prawny → wyślij za pośrednictwem oficjalnego kanału → archiwum do WORM.

SOP-3: Incydent (DFIR)

Zamrożenie (Legal Hold) → trace_id timeline → ekstrakt artefakty (kluczowe działania) → raport z dowodami → CAPA i aktualizacja wykrywalności.

SOP-4: Usunięcie TTL

Zidentyfikować partie gotowe do usunięcia → Sprawdź brakujące Legal Hold → usuń → wygenerować raport usunięcia z podsumowaniem skrótu.

13) Reguła/Przykłady zapytań

Poszukiwanie krytycznej eskalacji przywilejów (pseudo SQL)

sql
SELECT ts, actor.id, subject.id
FROM audit_events
WHERE domain='access' AND action='grant'
AND subject.id IN ('admin','db_root','kms_manager')
AND reason NOT LIKE 'ITSM-%'
AND ts BETWEEN @from AND @to;

Zasada SoD (pseudo-Rego)

rego deny_if_sod_conflict {
input.domain == "access"
input.action == "grant"
input.subject.id == "payment_approver"
has_role(input.actor.id, "payment_creator")
}

Filtr na DSAR (JSONPath)

$.events[?(@.domain=='privacy' && @.action in ['dsar_open','dsar_close','delete'])]

14) Odwzorowanie do wskaźników (wartości odniesienia)

RODO (art. 5, 30, 32, 33, 34): minimalizacja, rachunki działań, bezpieczeństwo przetwarzania, powiadomienia o incydentach; DSAR/deletion/Legal Hold.
ISO/IEC 27001/27701: A.12/A. 18 - dziennikarstwo, zarządzanie dowodami, prywatność.
SOC 2 (CC6/CC7/CC8): kontrola dostępu, monitorowanie, obsługa wypadków, integralność kłód.
PWZ DSS (10. x): identyfikowalność działań w zakresie danych i systemów map, codzienny przegląd, integralność dziennika.

15) Integracja z innymi funkcjami

Zgodność-as-Code/CCM: testy polityki są wykonywane i rejestrowane; wpisy - dla odchyleń.
RBA (kontrola ryzyka): próbki i reperformy zgodnie z danymi ze ścieżki audytu.
Ryzyko sprzedawcy: prawa audytu i eksportu w umowach; retencja lustrzana z kontrahentami.
Cykl życia polityki - zmiany wymagań → automatyczna generacja nowych zasad i pól schematu.

16) Antypattery

„Wolny tekst” bez schematów i semantyki.
Niezdolność do powiązania wydarzenia z biletem/powodem.
Dostęp „dla wszystkich” bez przypadku i czytać rejestrowanie.
Brak WORM/podpis - sporne dowody.
Mieszanie stref czasowych i poza synchronizacją 'ts'/' received _ at'.
Rejestrowanie „pełnego” PI/tajemnic zamiast hashes/maski.

17) Model zapadalności (M0-M4)

M0 Instrukcja: rozproszone dzienniki, niekompletne pokrycie, brak retencji.
M1 Scentralizowana kolekcja: wyszukiwanie podstawowe, częściowo jednolity format.
M2 Managed: katalog wydarzeń, schematy jako kod, retencja/Legal Hold, RBAC.
M3 Zapewniono: WORM + анкеринz, dostęp oparty na przypadku, KPI/SLO, auto-dowód.
M4 Ciągłe zapewnienie: ślad, wykrywanie predykcyjne, „audyt gotowy za pomocą przycisku”.

18) Powiązane artykuły wiki

Rejestrowanie i pozyskiwanie drewna

Ciągły monitoring zgodności (CCM)

KPI i wskaźniki zgodności

Prawne przechowywanie i zamrażanie danych

Polityka i procedury Cykl życia

Przekazywanie rozwiązań w zakresie zgodności

Zarządzanie zmianami w polityce zgodności

Należyta staranność i ryzyko outsourcingu

Wynik

Silna ścieżka audytu jest zorganizowana, niezmienna i kontekstowe zdarzenia z jasnym dostępem „indywidualnie”, śledzenie od końca do końca i kontrolowane zatrzymywanie. Taki system przyspiesza badania, sprawia, że kontrole są przewidywalne i zamienia zgodność w powtarzalny, mierzalny proces.