Przechowywanie dowodów i dokumentacji

1) Cel i wyniki

• Prawnie ważny dowód.
• Identyfikowalność: kto, kiedy, dlaczego stworzył/zmienił/przeczytał.
• Gotowy do audytu „za pomocą przycisku” (replikowany „pakiet audytu”).
• Prywatność i zachowanie (TTL, Legalna blokada, usunięcie/anonimizacja).
• Jednolity obwód praw i obowiązków (RACI) oraz wskaźniki jakości.

2) Taksonomia artefaktów (co uważamy za dowód)

Techniczne: dzienniki dostępu i akcje administratora, wyjścia skanera (SAST/DAST/SCA), tajne raporty skanowania, dzienniki SOAR, dryf/chmury IaC, kopie zapasowe konfiguracji, ścieżki KMS/HSM.
Obsługa: bilety ITSM/incydenty/zmiany, protokoły pośmiertne, sprawozdania z badań DR/BCP, sprawozdania z audytu dostępu (ponowne cert).
Przepisy prawne i wykonawcze: polityki/standardy/SOP z dziennikiem wersji, DPA/SLA/addendums, powiadomienia do organów regulacyjnych, odpowiedzi na wnioski, CAPA/remediacja.
Prywatność i dane: rejestry przetwarzania, sprawy DSAR, potwierdzenia usunięcia/anonimizacji, harmonogramy przechowywania, czasopisma Legal Hold.
Sprzedawcy/osoby trzecie: wyniki Due Diligence, certyfikaty (SOC/ISO/PCI), raporty pentest, zgodność SLA.
Kontrole finansowe: sprawozdania AML/STR, limity i wyłączenia, potwierdzenia SoD.

3) Założenia projektowe

Domyślnie immunitet: WORM/Object Lock.
Integralność i autentyczność: łańcuchy hash, jasne korzenie, cyfrowy podpis i znaczniki czasowe.
Minimal & Purpose-bound - Tylko dane, aliasing/maskowanie.
Dostęp oparty na przypadku: dostęp wg przypadku i roli, z dziennikiem odczytu/eksportu typu end-to-end.
Policy-as-Code: retention/Legal Hold/artefact classes - w repozytorium reguł.
Możliwość audytu: powtarzalne raporty i „pakiet audytu” z potwierdzeniami skrótu.

4) Role i RACI

(R - Odpowiedzialny; A - Odpowiedzialność; C - Konsultowane; I - Poinformowany)

5) Architektura magazynowania (odniesienie)

1. Odbierz obszar (ingest): niezawodny autobus, mTLS, przekładki, deduplicacja, normalizacja metadanych (JSON).
2. Hot storage: quick search/reports (30-90 dni).
3. Chłodnia: obiekt/archiwum (1-7 lat), klasa ekonomiczna.
4. WORM/Object Blokada pętli: niezmienne archiwum dowodów z zasadami na wiadro/obiekt.
5. Integralność: partie hash, merkly drzewa, okresowe kotwiczenia; dziennik audytu.
6. Katalog/MDM artefaktów: rejestr typów, schematów, właścicieli, TTL, pola wyszukiwania kluczy.
7. Dostęp: dostęp RBAC/ABAC + oparty na przypadku; eksport z potwierdzeniem hash; dwuczęściowa kontrola wrażliwych zestawów.
8. Replikacja i DR: geo-dystrybucja, cele RTO/RPO, regularne kontrole odzysku.

6) Polityka jako kod (przykład YAML)

yaml id: EVD-RET-001 title: "Retention and Legal Hold (evidence)"
classes:
- name: "security_logs"
hot_days: 30 cold_days: 365 worm_years: 3
- name: "contracts_dpa"
hot_days: 0 cold_days: 2555  # ~7 лет worm_years: 7 legal_hold:
enabled: true override_ttl: true privacy:
mask_fields: ["email","phone","ip","account_id"]
export_policy: "case_based"
verification:
integrity_check: "daily"
anchor_cadence: "hourly"

7) Łańcuch opieki

Identyfikacja: unikalny identyfikator obiektu, źródło, wersja schematu.
Utrwalenie: hash SHA-256/512, podpis pakietu, znacznik czasu.
Transport: Manifest log (who/when downloaded/verified).
Dostęp: rozliczanie wszystkich odczytów/eksportu; odniesienie do sprawy/biletu.
Raport: potwierdzenia skrótu, protokoły weryfikacji, wyniki uzgodnień.

8) Retension, Legalne trzymanie i usuwanie

Harmonogram składowania według klasy artefaktu i jurysdykcji.
Blokada prawna w przypadku incydentów/wniosków organu regulacyjnego - skreślenia „zamrażające”.
Usuwanie TTL - tylko po automatycznej weryfikacji braku aktywnego Hold.
Usuń raport - lista obiektów + zagregowane podsumowanie skrótu.
Dostawca offboard - retencja lustra, potwierdzenie zniszczenia.

9) Prywatność i minimalizacja

Zakres minimalny: kontekst sklepu, nie „pełny ładunek”.
Pseudonimizacja/maskowanie pól wrażliwych; oddzielne klucze do ponownej identyfikacji.
Dostęp „indywidualnie”: w przypadku DSAR/incydentu - prawa tymczasowe z dziennikiem.
Transgraniczne: wyraźne etykiety kraju składowania/przetwarzania; kontrola kopii.

10) „Pakiet audytu” (struktura)

1. Opis organizacji i RACI.
2. Zasady/standardy/SOP (aktualne wersje + changelog).
3. Mapa systemów i kontroli + mapowanie norm/certyfikacji.
4. Wskaźniki KPI/KRI i sprawozdania okresowe.
5. Artefakty wyboru: dzienniki, konfiguracje, skany, DR/BCP, wersje dostępu.
6. Dokumentacja dostawcy: DPA/SLA, certyfikaty, raporty pentest.
7. CAPA/rekultywacja: status, dowody zamknięcia.
8. Potwierdzenie skrótu pakietu i dziennik dostępu.

11) Metryka i SLO

Pass Integrity: 100% udanych kontroli łańcucha hash.
Kotwica świeżość p95: ≤ 2 godziny między kotwiczeniem a weryfikacją.
Zasięg: ≥ 98% systemów krytycznych w katalogu dowodów.
Dostęp Przegląd SLA: 100% miesięczne ponowne zaświadczenie praw archiwalnych.
Legal Hold Lag: ≤ 15 minut od wydarzenia do instalacji Hold.
Eksport SLA („pakiet audytu”): ≤ 8 godzin na wydanie pełnego zestawu.
Wskaźnik przecieku PII: 0 wycieków krytycznych w archiwach.

12) Deski rozdzielcze (minimalny zestaw)

Integralność i WORM: status kotwiczenia, blokada obiektu, błędy weryfikacyjne.
Coverage & Catalog: pokrycie klasy artefaktów, „dziury”, obiekty osierocone.
Dostęp i eksport: którzy czytali/rozładowywali co, anomalie, konflikty SoD.
Retention & Hold: Timers TTL, Active Legal Hold, harmonogram usuwania.
Lusterko sprzedawcy: stan zatrzymania lustra u wykonawców.
Gotowość audytu: gotowość przycisku i czas do SLA.

13) SOP (standardowe procedury)

SOP-1: Ładowanie dowodów

1. Rejestracja źródłowa → 2) normalizacja/schemat → 3) hash i podpis →

2. Napisz do WORM Zone → 5) Zweryfikować i Anchor → 6) Aktualizacja Katalog.

SOP-2: Przygotowanie „pakietu audytowego”

Otwórz sprawę → zebrać listę artefaktów przez wybór → wygenerować pakiet → wygenerować potwierdzenie hash → przegląd prawny → wydanie go za pośrednictwem oficjalnego kanału → dostęp do rekordu i kopię w WORM.

SOP-3: blokada prawna

Zainicjuj Trzymaj → klasy/przypadki krawat → zatrzymaj zadania usuwania → powiadom właścicieli → zaloguj wszystkie operacje → usuń Wstrzymaj zgodnie z decyzją Legal.

SOP-4: Usunięcie TTL

Sprawdź aktywny Trzymaj → usuń atomowo → wydaj raport podsumowujący hash → zaktualizuj katalog.

SOP-5: Dostawca Offboarding

Poproś o raport magazynowania lustrzanego → eksport/transfer → potwierdzenie zniszczenia od sprzedawcy → weryfikacja i archiwum certyfikatów.

14) Metadane artefaktowe (minimum)

UID, klasa, wersja schematu, źródło, właściciel/kontakty.
Data/czas utworzenia i pobrania, jurysdykcja/region przechowywania.
Hash/podpis/mercli-list i historia weryfikacji.
Status TTL i Legal Hold.
Linki do powiązanych biletów/spraw/zasad.
Historia dostępu/eksportu.

15) Kontrola integralności (algorytm)

Codzienne pobieranie próbek partii → ponowne obliczenie hashes → uzgodnienie z merkli-root → raport o niespójności → automatyczna eskalacja i „zamrożenie” spornych segmentów przed dochodzeniem.

16) Jakość i badania

Zgodność z schematem ≥ 99. 5% (odchylenia → blokowanie odbioru).
Disaster Restore Drills - kwartalne testy odzyskiwania archiwów.
Powtarzalność - skrypty reperformowe dla audytorów (powtarzalność sprawozdań).
Wersjonowane Playbooks - wersja SOP i szablonów pakietów audytu.

17) Antypattery

Brak WORM/immutability → kontrowersyjne dowody.
Tekst surowy bez schematów → słabe wyszukiwanie/ważność.
Nie ma katalogu i właścicieli → „niczyja” odpowiedzialność.
Archiwum jako „storeroom”: brak mierników/desek rozdzielczych, brak badań DR.
Zwolnienia wieczyste bez daty wygaśnięcia.
Eksport bez potwierdzenia skrótu i dziennika dostępu.
Mieszanie danych produkcji PI w artefaktach bez minimalizacji.

18) Model zapadalności (M0-M4)

Podręcznik M0: foldery rozproszone, brak TTL/łańcucha przechowywania.
Katalog M1: jednolity rejestr artefaktów, podstawowa retencja.
M2 Managed: WORM/Object Lock, integracja z IAM, Legal Hold, deski rozdzielcze.
M3 Zapewniono: łańcuchy hash, kotwiczenie, dostęp oparty na przypadku, „pakiet audytu” za pomocą przycisku.
M4 Ciągłe zapewnienie: automatyczne kontrole integralności, prognozowane ryzyko, retencja lustrzana u sprzedawców, pełne ćwiczenia DR.

19) Powiązane artykuły wiki

Rejestrowanie i pozyskiwanie drewna

Śledzenie aktywności ścieżki audytu

Prawne przechowywanie i zamrażanie danych

Harmonogramy przechowywania i usuwania danych

Ciągły monitoring zgodności (CCM)

KPI i wskaźniki zgodności

Należyta staranność i ryzyko outsourcingu

Zarządzanie zmianami w polityce zgodności

Interakcje z organami regulacyjnymi i audytorami

Razem

Bezpieczne przechowywanie dowodów to nie tylko „archiwum”, ale możliwy do opanowania i dający się udowodnić niezmienny system: WORM i łańcuchy hash, ścisła polityka zatrzymywania i legalnego trzymania, dostęp do poszczególnych przypadków, katalogi i mierniki odtwarzane przez „pakiet audytu” i regularne kontrole integralności. W takim systemie audyt jest przewidywalny, dochodzenia są szybkie, a ryzyko jest kontrolowane.