Непрерывный мониторинг соответствия

1) Что такое непрерывный мониторинг соответствия

• Снизить ручные проверки и человеческий фактор.
• Сократить TTD/MTTR нарушений.
• Обеспечить «audit-ready» состояние в любой момент.
• Ускорить внедрение изменений за счет policy-as-code.

2) Сфера охвата (scope) CCM

Доступы и идентичности (IAM/IGA): SoD, избыточные роли, «доступы без владельца».
Данные и приватность: ретенция/TTL, маскирование, Legal Hold, DSAR-SLA.
Инфраструктура/облако/IaC: дрейф конфигураций, шифрование, сегментация.
Продукт/код/CI-CD: секреты в репозиториях, SCA/SAST/DAST, лицензии OSS.
Транзакции/AML: санкционный/PEP-скрининг, правила аномалий, STR/SAR.
Операции: журналы аудита, резервирование и восстановление, уязвимости.

3) Референс-архитектура CCM

1. Сбор сигналов: агенты и коннекторы (облако, БД, логи, SIEM, IAM, CI/CD, DLP, почта/чаты-архивы).

2. Нормализация и обогащение: шина событий (Kafka/Bus) + ETL/ELT в витрины Compliance.

3. Политики-как-код (CaC): репозиторий YAML/Rego/политик с версиями, тестами и ревью.

4. Движок правил (stream/batch): вычисляет нарушения, приоритет и риск-скор.

5. Оркестрация: тикетинг/SOAR + эскалации по RACI, авто-remediation, выдержка SLA.

6. Evidence/WORM: неизменяемые артефакты (логи, снимки конфигов, отчеты).

7. Дашборды и отчетность: heatmap, KPI/SLO, регуляторные выгрузки.

4) Политики-как-код: мини-схемы

yaml id: IAM-SOD-007 title: "Prohibition of toxic combination of roles: finance_approver + vendor_onboarder"
scope: ["iam:"]
detect:
query: iam_sod_violations_last_1h. sql severity: high notify: ["GRC","SecOps"]
remediate:
playbook: revoke_extra_role sla:
detect_minutes: 15 remediate_hours: 24 evidence:
sink: s3://evidence/iam-sod/dt={{ts}}
owners: ["IGA","FinanceOps"]

yaml id: GDPR-RET-001 title: "TTL 24м для PI; LegalHold priority"
rule: "object. age_months <= 24          object. legal_hold == true"
detect:
job: retention_scan_daily sla: { detect_minutes: 60, remediate_days: 7 }

5) Типовые контроли по нормативам

6) Метрики и SLO

Coverage: % систем/данных под мониторингом (цель ≥ 90%).
MTTD/MTTR контролей: среднее время до детекта/устранения.
Drift Rate: дрейф конфигураций/мес.
False Positive Rate: доля ложных срабатываний по правилам.
Audit Readiness Time: время подготовки evidence (цель — часы).
DSAR SLA: % закрытых вовремя; медиана ответа.
Access Hygiene: доля устаревших прав; закрытие SoD-нарушений.

7) Процессы (SOP) CCM

1. Идентификация требований → матрица «норматив → контроль → метрика».
2. Проектирование правил → policy-as-code, тесты, PR/ревью, версионирование.
3. Развертывание → staging-валидация, затем prod с feature-флагом.
4. Мониторинг и алерты → приоритизация (sev/impact), шумоподавление, дедупликация.
5. Remediation → авто-плейбуки + тикеты владельцам; SLA-эскалации.
6. Evidence → периодические снимки; WORM/immutability; хеш-сводки.
7. Переоценка → ежеквартальный тюнинг правил, анализ FPR/TPR, A/B сравнений.
8. Обучение → онбординг владельцев контролей, инструкции и каталоги исключений (waivers).

8) Жизненный цикл алерта

Detect → Triage → Assign → Remediate → Verify → Close → Learn.
Для каждого шага фиксируются: владелец, срок, принятые меры, артефакты доказательств.

9) Интеграции

GRC — требования, риски, контроли, кампании ревью, хранение артефактов.
SIEM/SOAR — корреляция событий, автоматические плейбуки.
IAM/IGA — аттестации, SoD, RBAC/ABAC, жизненный цикл доступов.
CI/CD/DevSecOps — гейты соответствия, SAST/DAST/SCA, секрет-скан.
Data Platform — витрины «Compliance», каталог/lineage, маскирование.
DLP/EDRM — метки чувствительности, запрет эксфильтрации, журналы.
Ticketing/ITSM — SLA, эскалации, отчеты по владельцам и командам.

10) Дашборды (минимальный набор)

Compliance Heatmap (системы × нормативы × статус).
SLA Center (DSAR/AML/PCI/SOC2 сроки, просрочки).
Access & SoD (токсичные роли, «забытые» доступы).
Retention & Deletion (TTL-нарушения, блокировки Legal Hold).
Infra/Cloud Drift (несоответствия IaC/реальному состоянию).
Incidents & Findings (тренды повторов, эффективность remediation).

11) Примеры правил (SQL/псевдо)

sql
SELECT user_id, dataset, created_at
FROM pi_objects
WHERE age_months(created_at) > 24
AND legal_hold = false;

sql
SELECT u. id, r1. role, r2. role
FROM user_roles r1
JOIN user_roles r2 ON r1. user_id = r2. user_id
JOIN users u ON u. id = r1. user_id
WHERE r1. role = 'finance_approver' AND r2. role = 'vendor_onboarder';

12) Роли и RACI

13) Управление исключениями (waivers)

Формальный запрос с обоснованием и датой истечения.
Риск-оценка и компенсирующие контроли.
Авто-напоминание о пересмотре.
Отражение в отчетности (прозрачность для аудитора).

14) Приватность и безопасность в CCM

Минимизация данных в витринах и логах (PII-редакция).
Разделение обязанностей, наименьшие привилегии.
Immutability (WORM/S3 Object Lock) для evidence.
Криптографическая фиксация отчетов (хеш-цепочки).
Контроль доступа и журналирование к артефактам.

15) Чек-листы

Запуск CCM

• Матрица «норматив → контроль → метрика» согласована.
• Подключены ключевые источники сигналов.
• Политики описаны кодом, покрыты тестами и ревью.
• Включены дашборды и алерты; определены SLO/SLA.
• Настроен архив evidence (immutability).
• Обучены владельцы; определен процесс waivers.

Перед аудитом

• Актуализированы версии политик и изменений.
• Проведен dry-run выбораки evidence.
• Закрыты просрочки remediation и исключений.
• Сверены метрики Coverage/MTTD/MTTR/Drift.

16) Антипаттерны

«Проверки к аудиту» вместо постоянных контролей.
Шумные правила без приоритизации и дедупликации.
Политики без версионирования и тестов.
Мониторинг без владельцев и SLA.
Evidence в изменяемых местах/без хеш-фиксации.

17) Модель зрелости CCM (M0–M4)

M0 Ручной: спорадические проверки, отчеты в Excel.
M1 Инструментальный: частичная телеметрия, разовые правила.
M2 Автодетект: постоянные проверки, базовые SLO и алерты.
M3 Orchestrated: SOAR, авто-remediation, «audit-ready» в любой день.
M4 Continuous Assurance: проверки в SDLC/проде + самообслуживание аудитора.

18) Связанные статьи wiki

Автоматизация комплаенса и отчетности

Legal Hold и заморозка данных

Privacy by Design и минимизация данных

Графики хранения и удаления данных

PCI DSS / SOC 2: контроль и сертификация

Инцидент-менеджмент и форензика

Итог

CCM — это «пульс соответствия» организации: политики выражены кодом, сигналы текут непрерывно, нарушения видны мгновенно, доказательства собираются автоматически, а аудит превращается в операционную рутину, а не в пожар.