Uyumluluk ve raporlama otomasyonu

1) Neden uyumluluğu otomatikleştirin

• Manuel hataları ve uyumluluk maliyetlerini azaltın.
• Denetçiler için şeffaflık: izlenen eserler, değişmeyen günlükler.
• Kural değişikliklerine çabuk adapte olun.
• SDLC'de yerleşik kontrol ve çalışma (shift-left + shift-right).

2) Sözlük ve çerçeveler

Kontroller: Doğrulanabilir risk azaltma önlemleri (önleyici/dedektif/düzeltici).
Kanıt/Kanıt tabanı: günlükler, raporlar, yapılandırma dökümleri, ekran görüntüleri, CI/CD eserleri.
GRC platformu: risklerin, kontrollerin, gereksinimlerin, görevlerin ve denetimlerin kaydı.
Kod Olarak Uyumluluk (CaC): Politikalar/kontroller bildirimsel olarak açıklanmıştır (YAML, Rego, OPA, Sentinel, vb.).
RegOps: Ayrı bir işlev olarak SLO'lar/uyarılar ile gereksinimlerin operasyonel olarak yerine getirilmesi.

3) Kontrol haritası (referans matrisi)

4) Otomasyon mimarisi (referans)

1. Veri kaynakları: üretken veritabanları/günlükleri, DWH/datalake, erişim sistemleri, CI/CD, bulut yapılandırmaları, biletleme, posta/sohbetler (arşivler).

2. Toplama ve normalleştirme: konektörler - Compliance vitrinlerindeki olay yolu (Kafka/Bus) ve ETL/ELT.

3. Kurallar ve politikalar (CaC): politika deposu (YAML/Rego), linters, inceleme, sürüm oluşturma.

4. Algılama ve orkestrasyon: kurallar motoru (akış/toplu iş), görevler ve yükselmeler için SOAR/GRC.

5. Raporlama ve kanıt: regform jeneratörleri, PDF/CSV, panolar, değişmezlik için WORM arşivi.

6. Arayüzler: Yasal/Uyumluluk/Denetim için portallar, düzenleyiciler için API (varsa).

5) Veri ve olay akışları (örnek)

Erişim Yönetişimi: Hibe/iptal/rol değişikliği olayları - ekstra ayrıcalıklar kuralı - iyileştirme bileti - aylık doğrulama raporu.
Alıkoyma/silme: TTL/silme olayları - "politika ile senkronize olmayan" kontrol - "uyarı + gerekirse Yasal Bekletme tarafından engelleme.
AML izleme: işlemler - kural motoru ve ML segmentasyonu - durumlar (SAR) - düzenleyici formata yükleme.
Güvenlik açıkları/yapılandırmalar: CI/CD, tarayıcılar, "sertleştirme politikası", son kullanma tarihi olan feragat raporları.

6) Kod Olarak Uyumluluk: Politikalar nasıl tanımlanır

• Açık girdiler/çıktılar içeren bildirimsel biçim (kod olarak politika).
• Sürüm oluşturma + kod inceleme (PR) + raporlama etkisi ile değişim.
• Retro çalışma için birim/özellik tabanlı politika testleri ve sandbox ortamı.

yaml id: GDPR-Retention-001 title: "TTL for personal data - 24 months"
scope: ["db:users. pi", "s3://datalake/pi/"]
rule: "object. age_months <= 24          object. legal_hold == true"
evidence:
- query: retention_violations_last_24h. sql
- artifact: s3://evidence/retention/GDPR-Retention-001/dt={{ds}}
owners: ["DPO","DataPlatform"]
sla:
detect_minutes: 60 remediate_days: 7

7) Entegrasyonlar ve sistemler

GRC: Gereksinimlerin, kontrollerin, risklerin, sahiplerin, görevlerin ve denetimlerin kaydı.
IAM/IGA: rol kataloğu, SoD kuralları, erişim inceleme kampanyaları.
CI/CD: kapı eklentileri (kalite/uyumluluk kapıları), SAST/DAST/Gizli tarama, OSS lisansları.
Bulut Güvenliği/IaC: Politikaya uygunluk için Terraform/Kubernetes taraması.
DLP/EDRM: duyarlılık etiketleri, otomatik şifreleme, exfiltrasyon yok.
SIEM/SOAR: olay korelasyonu, kontrol ihlali yanıt oyun kitapları.
Veri Platformu: "Uyumluluk" vitrinleri, soy, veri kataloğu, maskeleme.

8) Düzenleyici raporlama: tipik durumlar

GDPR: Tedavi Sicili (Madde 30), olay raporları (Madde 33/34), DSAR KPI'ları (zamanlama/sonuç).
AML: SAR/STR raporları, tetik agregaları, vaka karar günlüğü, tırmanma kanıtı.
PCI DSS: tarama raporları, ağ segmentasyonu, kart verileriyle sistemlerin envanteri, anahtar kontrolü.
SOC 2: kontrol matrisi, onay günlüğü, ekran görüntüleri/yapılandırma günlükleri, kontrol testi sonuçları.

Biçimler: CSV/XBRL/XML/PDF, bir WORM arşivinde imzalanmış ve kaydedilmiş, özet özet.

9) Uyumluluk metrikleri ve SLO'lar

Kapsam: Denetimleri etkinleştirilmiş sistemlerin yüzdesi.
MTTD/MTTR (kontroller): ortalama algılama/iyileştirme süresi.
Dedektif kurallarına göre Yanlış Pozitif Oran.
DSAR SLA: % zamanında kapatıldı; Medyan yanıt süresi.
Erişim Hijyeni: Eski hakların %'si; Toksik kombinasyonların kapanış zamanı.
Drift: Aylık drift sayısı.
Denetim Hazırlığı: Denetim için kanıt toplama zamanı (hedef: saatler, haftalar değil).

10) Süreçler (SOP) - akıl yürütmeden uygulamaya

1. Keşif ve Haritalama: veri/sistem haritası, kritiklik, sahipler, düzenleyici bağlar.
2. Design policy: Formalization of "policy-as-code requirements" testleri.
3. Uygulama: kuralların dağıtılması (evreleme - prod), CI/CD'ye dahil edilmesi ve olay yolu.
4. İzleme: panolar, uyarılar, haftalık/aylık raporlar, kontrol komitesi.
5. İyileştirme: otomatik oyun kitapları + son tarihler ve RACI ile biletler.
6. Kanıt ve Denetim: eserlerin düzenli anlık görüntüsü; Dış denetim için hazırlık.
7. Değişiklikler: politika sürümleri, geçişler, eski kontrollerin devre dışı bırakılması.
8. Yeniden değerlendirme: üç aylık performans incelemesi, kural ayarlama ve SLO.

11) Roller ve RACI

12) Gösterge panoları (minimum set)

Uyumluluk Isı Haritası: sistem/iş hattına göre kontrol kapsamı.
SLA Merkezi: DSAR/AML/SOC 2/PCI DSS son tarihleri, delinquencies.
Erişim ve Sırlar: "zehirli" roller, süresi dolmuş sırlar/sertifikalar.
Saklama ve Silme: TTL ihlalleri, Yasal Bekletme nedeniyle donmalar.
Olaylar ve Bulgular: ihlal eğilimleri, tekrarlanabilirlik, iyileştirme etkinliği.

13) Kontrol listeleri

Otomasyon programını başlatın

• Yasal/Uygunluk ile mutabık kalınan gerekliliklerin ve risklerin kaydı.
• Atanmış kontrol sahipleri ve paydaşları (RACIs).
• Veri konektörleri ve Uyumluluk yapılandırılmıştır.
• Politikalar, CI/CD'ye eklenen testlerle kapsanan kod olarak tanımlanır.
• Uyarılar ve panolar yapılandırılmış, SLO/SLA tanımlı.
• Kanıt anlık görüntü süreci ve WORM arşivi açıklanmıştır.

Dış Denetimden Önce

• Güncellenmiş kontrol matrisi ↔ gereksinimleri.
• Kanıt toplama işlemi yapıldı.
• Süresi dolan iyileştirme biletleri kapandı.
• Son kullanma tarihleri güncellenen feragatnameler.

14) Eser desenleri

Compliance Ops Haftalık Raporu (Yapı)

1. Özet: temel riskler/olaylar/eğilimler.
2. Metrikler: Kapsam, MTTD/MTTR, DSAR SLA, Drift.
3. İhlaller ve düzeltme durumu (sahibi tarafından).
4. Politika değişiklikleri (sürümler, etki).
5. Haftanın planı: öncelikli iyileştirme, erişim incelemesi.

Muayene kartı (örnek)

Kimlik/İsim/Açıklama

Standart (lar )/Riskler

Тип: Önleyici/Dedektif/Düzeltici

Kapsam (sistemler/veriler)

Kod Olarak Politika (Link/Version)

Etki metrikleri (FPR/TPR)

Sahibi/Yedekleme Sahibi

Kanıt (ne ve nerede saklanır)

İstisnalar (kim onayladı, ne zaman önce)

15) Antipatterns

Excel'de uyumluluk - kontrol ve izlenebilirlik yok.
Manuel raporlar "talep üzerine" - öngörülebilirlik ve eksiksizlik.
Gereksinimlerin körü körüne kopyalanması - riskleri ve iş bağlamını değerlendirmeden.
Kuralların monoliti - sürüm ve testler olmadan.
Operasyonel geri bildirim eksikliği - metrikler gelişmez.

16) Olgunluk modeli (M0-M4)

M0 Kılavuzu: dağınık uygulamalar, gösterge panoları yok.
M1 Kataloğu: gereksinimler ve sistem kayıtları, minimum raporlar.
M2 AutoTest: olaylar/uyarılar, kod olarak bireysel politikalar.
M3 Orkestralı: GRC + SOAR, programlı reg raporları, kodda %80 kontroller.
M4 Sürekli Güvence: SDLC/satışlarda sürekli kontroller, otomatik kanıt, self servis denetçiler.

17) Otomasyonda güvenlik ve gizlilik

Uyumluluk durumlarında verilerin en aza indirilmesi.
En az ayrıcalık erişimi, segmentasyon.
Değişmez kanıt arşivleri (WORM/Object Lock).

Veri Şifreleme ve Anahtar Disiplini (KMS/HSM)

Raporlara ve eserlere erişimi günlüğe kaydetme ve izleme.

18) İlgili wiki makaleleri

Tasarım ve Veri Minimizasyonu ile Gizlilik

Yasal Tutma ve Veri Dondurma

Veri Saklama ve Silme Çizelgeleri

DSAR: kullanıcı veri istekleri

PCI DSS/SOC 2 Kontrol ve Sertifikasyon

Olay yönetimi ve adli tıp

Toplam

Uyumluluk otomasyonu sistem mühendisliğidir: kod, gözlemlenebilirlik, orkestrasyon ve kanıt tabanı olarak politikalar. Başarı, kontrol kapsamı, reaksiyon hızı, raporlama kalitesi ve düğmeli denetim hazırlığı ile ölçülür.