Безперервний моніторинг відповідності

1) Що таке безперервний моніторинг відповідності

• Знизити ручні перевірки і людський фактор.
• Скоротити TTD/MTTR порушень.
• Забезпечити «audit-ready» стан в будь-який момент.
• Прискорити впровадження змін за рахунок policy-as-code.

2) Сфера охоплення (scope) CCM

Доступи та ідентичності (IAM/IGA): SoD, надлишкові ролі, «доступи без власника».
Дані та приватність: ретенція/TTL, маскування, Legal Hold, DSAR-SLA.
Інфраструктура/хмара/IaC: дрейф конфігурацій, шифрування, сегментація.
Продукт/код/CI-CD: секрети в репозиторіях, SCA/SAST/DAST, ліцензії OSS.
Транзакції/AML: санкційний/РЕР-скринінг, правила аномалій, STR/SAR.
Операції: журнали аудиту, резервування та відновлення, уразливості.

3) Референс-архітектура CCM

1. Збір сигналів: агенти і конектори (хмара, БД, логи, SIEM, IAM, CI/CD, DLP, пошта/чати-архіви).

2. Нормалізація та збагачення: шина подій (Kafka/Bus) + ETL/ELT у вітрини Compliance.

3. Політики-як-код (CaC): репозиторій YAML/Rego/політик з версіями, тестами і рев'ю.

4. Рушій правил (stream/batch): обчислює порушення, пріоритет і ризик-скор.

5. Оркестрація: тікетинг/SOAR + ескалації по RACI, авто-remediation, витримка SLA.

6. Evidence/WORM: незмінювані артефакти (логи, знімки конфігів, звіти).

7. Дашборди та звітність: heatmap, KPI/SLO, регуляторні вивантаження.

4) Політики-як-код: міні-схеми

yaml id: IAM-SOD-007 title: "Prohibition of toxic combination of roles: finance_approver + vendor_onboarder"
scope: ["iam:"]
detect:
query: iam_sod_violations_last_1h. sql severity: high notify: ["GRC","SecOps"]
remediate:
playbook: revoke_extra_role sla:
detect_minutes: 15 remediate_hours: 24 evidence:
sink: s3://evidence/iam-sod/dt={{ts}}
owners: ["IGA","FinanceOps"]

yaml id: GDPR-RET-001 title: "TTL 24м для PI; LegalHold priority"
rule: "object. age_months <= 24          object. legal_hold == true"
detect:
job: retention_scan_daily sla: { detect_minutes: 60, remediate_days: 7 }

5) Типові контролі за нормативами

6) Метрики та SLO

Coverage: % систем/даних під моніторингом (мета ≥ 90%).
MTTD/MTTR контролів: середній час до детекту/усунення.
Drift Rate: дрейф конфігурацій/міс.
False Positive Rate: частка помилкових спрацьовувань за правилами.
Audit Readiness Time: час підготовки evidence (мета - годинник).
DSAR SLA: % закритих вчасно; медіана відповіді.
Access Hygiene: частка застарілих прав; закриття SoD-порушень.

7) Процеси (SOP) CCM

1. Ідентифікація вимог → матриця «норматив → контроль → метрика».
2. Проектування правил → policy-as-code, тести, PR/рев'ю, версіонування.
3. Розгортання → staging-валідація, потім prod з feature-прапором.
4. Моніторинг і алерти → пріоритизація (sev/impact), шумозаглушення, дедуплікація.
5. Remediation → авто-плейбуки + тікети власникам; SLA-ескалації.
6. Evidence → періодичні знімки; WORM/immutability; хеш-зведення.
7. Переоцінка → щоквартальний тюнінг правил, аналіз FPR/TPR, A/B порівнянь.
8. Навчання → онбординг власників контролів, інструкції та каталоги винятків (waivers).

8) Життєвий цикл алерта

Detect → Triage → Assign → Remediate → Verify → Close → Learn.
Для кожного кроку фіксуються: власник, термін, вжиті заходи, артефакти доказів.

9) Інтеграції

GRC - вимоги, ризики, контролі, кампанії рев'ю, зберігання артефактів.
SIEM/SOAR - кореляція подій, автоматичні плейбуки.
IAM/IGA - атестації, SoD, RBAC/ABAC, життєвий цикл доступів.
CI/CD/DevSecOps - гейти відповідності, SAST/DAST/SCA, секрет-скан.
Data Platform - вітрини «Compliance», каталог/lineage, маскування.
DLP/EDRM - мітки чутливості, заборона ексфільтрації, журнали.
Ticketing/ITSM - SLA, ескалації, звіти по власникам і командам.

10) Дашборди (мінімальний набір)

Compliance Heatmap (системи × нормативи × статус).
SLA Center (DSAR/AML/PCI/SOC2 терміни, прострочення).
Access & SoD (токсичні ролі, «забуті» доступи).
Retention & Deletion (TTL-порушення, блокування Legal Hold).
Infra/Cloud Drift (невідповідності IaC/реальному стану).
Incidents & Findings (тренди повторів, ефективність remediation).

11) Приклади правил (SQL/псевдо)

sql
SELECT user_id, dataset, created_at
FROM pi_objects
WHERE age_months(created_at) > 24
AND legal_hold = false;

sql
SELECT u. id, r1. role, r2. role
FROM user_roles r1
JOIN user_roles r2 ON r1. user_id = r2. user_id
JOIN users u ON u. id = r1. user_id
WHERE r1. role = 'finance_approver' AND r2. role = 'vendor_onboarder';

12) Ролі та RACI

13) Управління винятками (waivers)

Формальний запит з обґрунтуванням і датою закінчення.
Ризик-оцінка і компенсуючі контролі.
Авто-нагадування про перегляд.
Відображення у звітності (прозорість для аудитора).

14) Приватність і безпека в CCM

Мінімізація даних у вітринах і логах (PII-редакція).
Розподіл обов'язків, найменші привілеї.
Immutability (WORM/S3 Object Lock) для evidence.
Криптографічна фіксація звітів (хеш-ланцюжка).
Контроль доступу та журналювання до артефактів.

15) Чек-листи

Запуск CCM

• Матриця «норматив → контроль → метрика» узгоджена.
• Підключені ключові джерела сигналів.
• Політики описані кодом, покриті тестами і рев'ю.
• Включені дашборди і алерти; визначені SLO/SLA.
• Налаштований архів evidence (immutability).
• Навчені власники; визначено процес waivers.

Перед аудитом

• Актуалізовано версії політик і змін.
• Проведено dry-run вибірки evidence.
• Закриті прострочення remediation і винятків.
• Звірені метрики Coverage/MTTD/MTTR/Drift.

16) Антипатерни

«Перевірки до аудиту» замість постійних контролів.
Гучні правила без пріоритизації і дедуплікації.
Політики без версіонування і тестів.
Моніторинг без власників і SLA.
Evidence в змінюваних місцях/без хеш-фіксації.

17) Модель зрілості CCM (M0-M4)

M0 Ручний: спорадичні перевірки, звіти в Excel.
M1 Інструментальний: часткова телеметрія, разові правила.
M2 Автодетект: постійні перевірки, базові SLO та алерти.
M3 Orchestrated: SOAR, авто-remediation, «audit-ready» в будь-який день.
M4 Continuous Assurance: перевірки в SDLC/проді + самообслуговування аудитора.

18) Пов'язані статті wiki

Автоматизація комплаєнсу та звітності

Legal Hold і заморожування даних

Privacy by Design і мінімізація даних

Графіки зберігання та видалення даних

PCI DSS / SOC 2: контроль і сертифікація

Інцидент-менеджмент і форензика

Підсумок

CCM - це «пульс відповідності» організації: політики виражені кодом, сигнали течуть безперервно, порушення видно миттєво, докази збираються автоматично, а аудит перетворюється на операційну рутину, а не на пожежу.