Auditorlik jurnallari va kirish izlari

1) Vazifasi va qo’llanish sohasi

Maqsad: foydalanuvchilar/xizmatlar harakatlarining isbotlanishini, tekshiruvlarning shaffofligini, regulyatorlar va ichki standartlar (GDPR/AML, PSP/KYC-provayderlar, ISO/PCI bilan shartnomalar) talablariga muvofiqligini ta’minlash.
Qamrov: barcha prod-tizimlar, platforma servislari (akkaunt, to’lovlar, antifrod, KS/sanksiyalar, RG), ma’muriy panellar, API-shlyuzlar, DWH/BI, infratuzilma (K8s/bulut), vendorlar bilan integratsiya.

2) Nima qilish kerak (voqealar sinflari)

1. Identifikatsiya va kirish: login/logaut, MFA, parol/kalitlarni almashtirish, SSO, «break-glass» kirish.
2. Ma’muriy harakatlar: rollar/huquqlar, konfiguratsiyalar, antifrod/sanksiyalar qoidalari, fich-bayroqlar o’zgarishi.
3. PII/moliyaviy ma’lumotlar bilan operatsiyalar: o’qish/eksport/olib tashlash, tushirish, KYCga kirish, VIP-profillarni ko’rish.
4. Tranzaksiyalar va pullar: kesh-autlar/depozitlar, bekor qilish, qaytarish, chorjbeklar bo’yicha qarorlar.
5. Komplayens/AML/KYC: skrining natijalari (sanksiyalar/PEP/Adverse Media), yechimlar (TP/FP), EDD/STR/SAR.
6. Hodisalar va xavfsizlik: eskalatsiyalar, WAF/IDS qoidalarini o’zgartirish, xizmatlarni izolyatsiya qilish, sirlarni almashtirish.
7. Integratsiyalar/vendorlar: API chaqiruvlari, xatolar, taymautlar, eksport, maʼlumotlarni olib tashlash/qaytarishni tasdiqlash.

3) Hodisaning majburiy maydonlari (minimal)

`event_id` (UUID), `ts_utc`, `ts_local`, `source_service`, `trace_id`/`span_id`

’actor _ type’ (user/service/vendor),’actor _ id’(mustahkam identifikator),’actor _ org’(agar B2B boʻlsa)

`subject_type` (account/tx/document/dataset), `subject_id`

`action` (e. g., `READ_PII`, `EXPORT_DATA`, `ROLE_UPDATE`, `WITHDRAWAL_APPROVE`)

`result` (success/deny/error) и `reason`/`error_code`

’ip’,’device _ fingerprint’,’geo’(mamlakat/mintaqa),’auth _ context’(MFA/SSO)

’fields _ accessed ’/’ scope’ (PII/findata bilan ishlashda) - niqob bilan

’purpose ’/’ ticket _ id’ (asos: DSAR, hodisa, regulyator so’rovi, operatsion vazifa)

4) O’zgarmasligi va isbotlanishi

«Oltin» nusxa uchun WORM ombori (immutable buckets/retention policies).
Kripto imzosi/xesh-zanjir: modifikatsiyalarni aniqlash uchun voqealar qutilarining davriy imzosi va/yoki xesh (hash chaining) zanjirini qurish.
Sxemalar/qoidalarni o’zgartirish jurnali: sxemalar va loging siyosatini versiyalashtiramiz; har qanday tuzatishlar CAB’dan o’tadi.
Ikki konturli saqlash: operativ indeks (qidirish) + arxiv/immutability.

5) Vaqtni sinxronlashtirish va traslash

Barcha muhitlarda yagona NTP/Chrony; loglarda -’ts _ utc’haqiqat manbai sifatida.
Har bir logga -’trace _ id ’/’ span _ id’so’rovlarni izlash uchun (servislar, vendorlar va front o’rtasidagi korrelyatsiya).

6) Maxfiylik va sirlar

Taqiqlangan: parollar, PAN/CSC bilan to’ldirilgan tokenlar, hujjatlarning to’liq raqamlari, «xom» biometriya.
Andoza niqoblash: e-mail/telefon/IBAN/PAN → tokenlar/qisman koʻrsatish.
Taxalluslashtirish:’user _ id’→ tahlildagi barqaror token; haqiqiy ID bilan bogʻlanish - faqat himoyalangan konturda.
DSAR muvofiqligi: begona PIIlarni oshkor qilmasdan subyekt bo’yicha loglarni tanlab olish imkoniyati.

7) Saqlash muddatlari va darajalari (retenshn)

8) Kirish va nazorat (RBAC/ABAC)

Auditorlik log o’qish rollari ma’muriyatchilik rollaridan ajratilgan.
MFA va Just-in-Time kirish (break-glass) sabablarini avtomatik qaytarish/logirovka qilish.
«Minimum» siyosati: faqat zarurat bo’lganda va’purpose’belgilanganda PII/moliyaviy ma’lumotlar maydonlariga kirish.
Eksport/tushirish: adresatlar va formatlarning oq ro’yxatlari; majburiy imzo/xesh, tushirish jurnali.

9) SIEM/SOAR/ETL bilan integratsiya

Audit-hodisalar oqimi bogʻlanish uchun SIEMga keladi (e. g., ommaviy’READ _ PII’+ yangi qurilmadan kirish).
SOAR pleybuklari: siyosat buzilganda avto-chiptalar (no’purpose’, anormal hajmi, derazadan tashqarida kirish).
ETL/DWH: «audit _ access», «pii _ exports», «admin _ changes» oynalari sifat nazorati va sxemalar versiyasi bilan.

10) Ma’lumotlar sifati va validatorlar

Sxemalar kod sifatida (JSON/Protobuf/Euro): majburiy maydonlar, turlar, lug’atlar; CI validatorlari.
Noto’g’ri sxema voqealari uchun kvarantine navbati va rad etish; nikoh metrikasi.
Deduplikatsiya/idempotentlik bo’yicha’(event_id, trace_id, ts)’; qayta jo’natishni nazorat qilish.

11) RACI

12) SOP: Ma’lumotlardan foydalanishni tekshirish

1. Trigger: alert SIEM (anomal’READ _ PII ’/eksport), shikoyat, vendordan signal.
2. Artefaktlarni yigʻish:’actor _ id ’/’ subject _ id ’/’ trace _ id’,’purpose’jurnali, tegishli loglar (WAF/IdP).
3. Qonuniylikni tekshirish: asos (DSAR/hodisa/xizmat vazifasi), kelishuv, kirish oynalari mavjudligi.
4. Ta’sirni baholash: hajmi/PII toifalari, yurisdiksiya, subyektlarga tavakkalchilik.
5. Yechim: hodisa-brij (High/Critical bilan), containment (kirishni chaqirib olish, kalitlarni almashtirish).
6. Hisobot va CAPA: sabablar, buzilgan siyosat, chora-tadbirlar (niqoblash, o’qitish, RBAC o’zgarishlari), muddatlar.

13) SOP: Ma’lumotlar eksporti (regulyator/sherik/DSAR)

1. So’rov → asos va shaxsni tekshirish (DSAR uchun) → DWHda so’rov shakllantirish.
2. Andoza nomaʼlum/minimallashtirish; PIIni faqat huquqiy asosda kiritish.
3. Tushirish generatsiyasi (CSV/JSON/Parquet) → imzo/xesh → tushirish jurnaliga yozish (kim/qachon/nima/kimga/asos).
4. Tasdiqlangan kanal orqali uzatish (sFTP/Secure link); nusxani saqlash muddati - siyosat bo’yicha.
5. Post-nazorat: vaqtinchalik fayllarni olish, olib tashlashni tasdiqlash.

14) Metrika i KRIs/KPIs

Coverage: audit-tadbirlarni yuboruvchi tanqidiy tizimlar ulushi ≥ 95%.
DQ xatolari: validator tomonidan rad etilgan hodisalar ≤ 0. 5% oqim.
MTTD yo’qotish oqimi: ≤ 15 daqiqa (sukut saqlashda alert).
’purpose’: = 0 (KRI).
Tergovga javob berish vaqti: mediana ≤ 4 soat, P95 ≤ 24 soat.
Imzo/xeshlar bilan eksport: 100%.
Retenshnaga rioya qilish: 99% ≥ muddatda olib tashlash/arxivlar.

15) Vendorlar va subprotsessorlarga qo’yiladigan talablar

DPA/SLA: audit-loglar tavsifi (sxemalar, muddatlar, geografiya, eksport formati), WORM/immutability, SLA hodisalar to’g "risidagi bildirishnomalar.
Vendorning kirishi: nomlari ko’rsatilgan servis hisoblari, ularning faoliyat yuritish daftarlari, tanlab audit o’tkazish imkoniyati.
Offbording: kalitlarni chaqirib olish, jurnallarni eksport qilish/olib tashlash, yopish dalolatnomasi, bekaplarning yo’q qilinganligini tasdiqlash.

16) Xavfsizlik va manipulyatsiyadan himoya qilish

Rollarni ajratish: manba ma’muri ≠ ombor ma’muri ≠ auditor.
Agent/kollektor imzosi, komponentlar orasidagi mTLS.
Anti-tamper nazorati: xeshlarni taqqoslash, yaxlitlikni muntazam tekshirish, farqlar uchun alertlar.
WORM nusxalarini geo-replikatsiya qilish va muntazam tiklash testlari.

17) Namunaviy xatolar va anti-patternlar

Sezgir qiymatlar (PAN/sirlar) → darhol redaction-middleware’ni yoqish.
PII ga kirishda’purpose ’/’ ticket _ id’mavjud emas.
«Ish stoliga» lokal tushirish va e-mail orqali jo’natish.
Yagona sxema va validatsiyaning yo’qligi → «ovozsiz» maydonlar, korrelyatsiyaning mumkin emasligi.
Shaxs yoki xizmatga bogʻlanmagan yagona super-hisob.

18) Chek varaqlari

18. 1 Siyosatni boshlash/yangilash

• Sxemalar va lug’atlar tasdiqlandi; Majburiy maydonlarga kiritilgan
• Sirlarni yashirish va taqiqlash kiritilgan
• NTP,’trace _ id’hamma joyda sozlangan
• Hot/Warm/Cold/WORM qatlamlari
• RBAC/ABAC va break-glass
• SIEM/SOAR integratsiyalashgan, alertlar sinovdan o’tkazilgan

18. 2 Oylik audit

• Eksport namunasi: imzolar/jurnallar to’g’ri
• Retenshn/oʻchirishni tekshirish/Legal Hold
• DQ-metriklar normal, quarantine tahlil
• Vendor daftarlari mavjud/toʻliq

19) Joriy etish yo’l xaritasi

1-2 haftalar: tizimlarni inventarizatsiya qilish, sxemalar va majburiy maydonlarni kelishish, vaqt va trassalarni sozlash.
3-4 hafta: niqoblash, WORM qatlamini yoqish, SIEM/SOAR bilan integratsiya qilish, eksport jurnallarini ishga tushirish.
2-oy: validatorlar/alertlarni avtomatlashtirish, tergov pleybuklari, jamoalarni o’qitish.
3 + oy: muntazam auditlar, yaxlitlik stress-testlari, qiymatni optimallashtirish (tiering), vendorlar/shartnomalarni taftish qilish.

TL; DR

Kuchli auditorlik jurnallari = to’liq va tarkibiy voqealar + immutability (WORM) va imzolar + PII niqoblash + qattiq kirish va tushirish jurnali + SIEM/SOAR bilan integratsiya. Bu esa tergovlarni tezlashtiradi, xavflarni kamaytiradi va komplayensni isbotlash mumkin qiladi.