PII i logaí slándála: treoir oibríochtúil do GDPR, NIS2 agus DORA

Osclaíonn anailísí slándála an SIEM ag 02:17. Ar dtús, is cosúil gur gnáthfholáireamh é: roinnt teipeanna logála isteach, seisiún rathúil ó sheoladh IP neamhghnách, agus ansin borradh i nglaonna API ar chríochphointe onnmhairithe custaiméara. Laistigh de chúpla nóiméad, tá cainéal na dteagmhas lán. Teastaíonn ón CISO a fháil amach an táthcheangal cuntais atá ann. Fiafraíonn an fhoireann dlí an bhfuil sonraí pearsanta sna logaí. Fiafraíonn an tOifigeach Cosanta Sonraí (OCS) an bhfuil an t-aitheantas úsáideora, an seoladh IP, aitheantóir an ghléis agus URLanna na n-iarratas sa SIEM clúdaithe ag an bhfógra príobháideachais agus ag na taifid ar ghníomhaíochtaí próiseála. Fiafraíonn an bainisteoir comhlíonta an gá na logaí a chaomhnú le haghaidh tuairisciú rialála. Fiafraíonn an fhoireann ratha custaiméirí an bhféadfadh custaiméir léirscriosadh na n-iontrálacha loga céanna a iarraidh amárach.

Seo an pointe ag a dtuigeann go leor eagraíochtaí gur tógadh logáil slándála agus rialachas príobháideachais mar dhá shaol ar leith.

Teastaíonn logaí mionsonraithe, coinneáil fhada, stóráil dho-athraithe agus rochtain thapa ó fhoirne slándála. Teastaíonn íoslaghdú, teorannú de réir cuspóra, rochtain rólbhunaithe, smacht coinneála agus scriosadh nuair nach bhfuil sonraí de dhíth a thuilleadh ó fhoirne príobháideachais. Teastaíonn ó láimhseálaithe teagmhas fianaise a chaomhnú díreach mar a bhí sí. Éilíonn cuntasacht GDPR ar an eagraíocht a mhíniú cén fáth a bhfuil sonraí pearsanta ann, cé a fuair rochtain orthu agus cá fhad a choinnítear iad. Cuireann NIS2 agus DORA práinn leis seo, toisc go dteastaíonn fianaise shubstaintiúil ó eintitis riachtanacha agus thábhachtacha agus ó eagraíochtaí airgeadais chun teagmhais a aicmiú, iad a thuairisciú in am agus bainistíocht éifeachtach rioscaí TFC a léiriú.

Is simplí an fhírinne mhíchompordach: is stórtha sonraí pearsanta iad logaí slándála go minic. Is féidir le logaí fíordheimhnithe ainmneacha úsáideora, seoltaí ríomhphoist, seoltaí IP, méarloirg gléis agus suíomh geografach a bheith iontu. Is féidir le logaí feidhmchlár URLanna, teaghráin chuardaigh, blúirí d’ualach sonraí, uimhreacha cáis agus inneachar teachtaireachtaí a nochtadh. Is féidir le logaí EDR agus seirbhísí néil óstainmneacha atá nasctha le fostaithe, conairí comhad ina bhfuil ainmneacha, aitheantóirí seisiúin agus gníomhartha riarthóra a áireamh. Is féidir le logaí IAM athruithe pribhléide, ballraíocht ghrúpa agus iarrachtaí rochtana ar theip orthu ar chórais íogaire a nochtadh.

Má tá PII i logaí, ní saincheist logála ISO 27001 amháin iad a thuilleadh. Is saincheist príobháideachais, coinneála, fianaise, tuairiscithe teagmhas agus rialachais soláthraithe iad. Déileálann Clarysec le rialachas PII i logaí slándála mar fhadhb thraschomhlíonta, ní mar fhadhb chumraíochta uirlise.

Fíor-aincheist an CISO: fianaise bhrathadóireachta i gcoinne íoslaghdú príobháideachais

Tá coinbhleacht oibríochtúil fhíor roimh an CISO sa chás 02:17. Má tá na logaí róthanaí, ní féidir leis an SOC comhréiteach a bhrath, amlínte a atógáil ná tacú le tuairisciú NIS2 agus DORA. Má tá na logaí róshaibhir, d’fhéadfadh an eagraíocht níos mó sonraí pearsanta ná mar is gá a bhailiú, iad a choinneáil rófhada, iad a nochtadh do ró-líon riarthóirí, nó mainneachtain tacú le cearta GDPR agus le hoibleagáidí trédhearcachta.

Sainíonn GDPR sonraí pearsanta go leathan mar fhaisnéis a bhaineann le duine sainaitheanta nó inaitheanta. Áirítear leis an bpróiseáil bailiú, stóráil, úsáid, nochtadh, léirscriosadh agus scriosadh. Go praiticiúil, d’fhéadfadh logaí ina bhfuil seoltaí IP, aitheantais úsáideora, aitheantóirí gléis nó taifid ghníomhaíochta a bheith ina sonraí pearsanta, ag brath ar an gcomhthéacs. Éilíonn prionsabail GDPR próiseáil dhleathach, chothrom agus thrédhearcach, teorannú de réir cuspóra, íoslaghdú sonraí, teorannú stórála, sláine agus rúndacht, chomh maith le cuntasacht.

Ní hí ceist an rialachais, “An féidir linn sonraí pearsanta a logáil riamh?” Is í an cheist níos fearr, “Cén PII is gá dúinn a logáil le haghaidh slándála, freagairt ar theagmhais agus comhlíonadh, cén bonn dlíthiúil a thacaíonn leis, cé na coimircí a bhaineann leis, agus cathain nach mór é a scriosadh, a anaithnidiú nó a chur faoi choinneáil fhormheasta?”

Tugann leabharlann bheartais phríobháideachais fiontair Clarysec aghaidh dhíreach ar an teannas seo. Deir an Beartas um Chosaint Sonraí agus Príobháideachas, Ceanglais maidir leis an mbeartas a chur chun feidhme, clásal 6.2.1:

Ní fhéadfar ach sonraí atá riachtanach do chuspóir gnó sonrach, dlisteanach a bhailiú agus a phróiseáil.

Do FBManna, luaitear an prionsabal céanna sa Beartas um Chosaint Sonraí agus Príobháideachas do FBManna, Ceanglais maidir leis an mbeartas a chur chun feidhme, clásal 6.2.1:

Ní mór ach an t-íosmhéid sonraí pearsanta is gá a bhailiú agus a choinneáil

Ba cheart don abairt sin gach cinneadh dearaidh logála a threorú. An bhfuil gach réimse i ngach foinse loga riachtanach do chuspóir slándála, oibríochtúil, dlíthiúil nó conarthach atá sainithe?

Cén fáth a n-athraíonn ISO 27701 an comhrá faoi logáil

Tugann ISO/IEC 27001:2022 an córas bainistíochta: raon feidhme, páirtithe leasmhara, measúnú riosca, cóireáil riosca, rialú oibríochtúil, faireachán, iniúchadh inmheánach agus feabhsú leanúnach. Tugann ISO/IEC 27002:2022 treoir phraiticiúil rialaithe maidir le logáil, faireachán, cosaint phríobháideachais PII, bailiú fianaise, cosaint taifead, scriosadh, rialú rochtana agus bainistíocht soláthraithe. Leathnaíonn ISO/IEC 27701 an tsamhail rialachais isteach i mbainistíocht faisnéise príobháideachais trí dhíriú ar rialaitheoirí agus próiseálaithe PII, róil phríobháideachais, taifid phróiseála PII, príobháideachas trí dhearadh, láimhseáil ceart agus oibleagáidí próiseálaithe.

Maidir le logaí slándála, tá ISO 27701 tábhachtach toisc go gcuireann sé ceisteanna sainiúla príobháideachais i bhfeidhm nach gcuireann foirne slándála uaireanta:

• An bpróiseálann foinse an loga PII mar rialaitheoir, próiseálaí, rialaitheoir comhpháirteach nó fo-phróiseálaí?
• An bhfuil sonraí na logaí san áireamh san fhardal próiseála?
• An bhfuil a fhios ag an eagraíocht cé na réimsí loga ina bhfuil PII?
• An bhfuil PII i logaí nasctha le rialacha coinneála agus scriosta?
• An gcuirtear custaiméirí próiseálaithe ar an eolas faoi logáil rochtana PII nuair is gá é sin de réir conartha?
• An mbreithnítear logaí agus freagra á thabhairt ar iarrataí rochtana, léirscriosta nó srianta?
• An measúnaítear teagmhais PII i gcoinne truicear tuairiscithe príobháideachais, cibearshlándála agus earnála airgeadais?

Aistríonn Beartas Slándála agus Rialaithe Rochtana PII Clarysec é seo ina cheanglais oibríochtúla. Ó Logáil agus faireachán, clásal 4.6.1:

[Both] Ní mór don Úinéir Córais / Úinéir Feidhmchláir raon feidhme logála PII a shainiú le haghaidh imeachtaí fíordheimhnithe, imeachtaí rochtana, gníomhartha pribhléideacha, gníomhaíocht onnmhairithe PII agus athruithe cumraíochta ábhartha in REG12 roimh úsáid sa táirgeadh nó roimh athrú ábhartha.

Dúnann clásal 4.6.2 an lúb ansin idir logáil, rialú rochtana agus coinneáil:

[Both] Ní mór don Cheannaire Slándála Faisnéise a chinntiú go bhfuil rochtain ar logaí ina bhfuil PII srianta agus go bhfuil siad nasctha le riail choinneála nó scriosta fhormheasta in REG02 nó REG12 sula dtosaíonn faireachán logaí.

Déanann sé seo rialachas PIMS praiticiúil. Sainíonn REG12 cén logáil PII atá ceadaithe agus riachtanach. Aithníonn REG02 cá bhfuil PII ann, logaí san áireamh. Ní páipéarachas a chuirtear leis níos déanaí iad rialacha coinneála agus scriosta. Is réamhchoinníollacha iad do logáil táirgthe.

Is taifid, fianaise agus gníomhaíocht phróiseála PII iad logaí slándála

Níor cheart d’eagraíocht aibí caitheamh le logaí mar iarmhar teicniúil indiúscartha. Is taifid iad logaí. Le linn teagmhais, d’fhéadfadh siad a bheith ina bhfianaise dhlíthiúil. Nuair a bhíonn PII iontu, is sonraí próiseála atá faoi rialachas príobháideachais iad freisin.

Sainíonn Beartas Logála agus Faireacháin Clarysec ionchais maidir le normalú logaí. Ó Cheanglais rialachais, clásal 5.1.4:

Ceanglais maidir le formáid agus normalú logaí (m.sh., stampa ama, aitheantas úsáideora, cineál imeachta, IP foinse)

Sin iad go díreach na réimsí a fhágann go bhfuil logaí úsáideach don fhreagairt ar theagmhais. Is iad freisin na réimsí a fhágann gur sonraí pearsanta iad logaí go minic. Tugann an beartas fiontair céanna rabhadh faoi rud nár cheart tarlú riamh, ó Cheanglais rialachais, clásal 5.3.3:

Stóráil sonraí íogaire i ngnáth-théacs (m.sh., pasfhocail, rúin chripteagrafacha)

Ní hé an pointe gur cheart do logaí gach aitheantóir a sheachaint. Is é an pointe gur gá aitheantóirí a bheith beartaithe, cosanta agus údaraithe. Níor cheart pasfhocail, rúin, tóicíní iomlána ná ualaí sonraí neamhriachtanacha a logáil. D’fhéadfadh aitheantais úsáideora, seoltaí IP agus meiteashonraí imeachta a bheith riachtanach, ach teastaíonn rialuithe uathu.

Do FBManna, cuireann Beartas Logála agus Faireacháin do FBManna Clarysec athbhreithniú príobháideachais isteach sa struchtúr róil. Ó Róil agus freagrachtaí, clásal 4.3.1, éilíonn sé ar an eagraíocht:

A fhíorú go láimhseáiltear sonraí loga a bhaineann le faisnéis phearsanta nó íogair i gcomhréir le GDPR agus dlíthe eile um chosaint sonraí

Tugann an leagan do FBManna ceanglas soiléir bonnlíne coinneála freisin. Ó Cheanglais rialachais, clásal 5.2.1:

Ní mór logaí a choinneáil ar feadh 12 mhí ar a laghad mura bhfuil tréimhse choinneála níos faide riachtanach de réir dlí nó conartha, nó mura bhfuil bonn cirt léi mar chuid de theagmhas gníomhach nó díospóid dhlíthiúil.

Agus socraíonn sé an t-ionchas cosanta, ó Cheanglais rialachais, clásal 5.3.1:

Ní mór logaí a stóráil in áiteanna atá cosanta ar scríobh, agus ní mór rochtain a shrianadh do phearsanra údaraithe amháin

Maidir le freagairt ar theagmhais ar leibhéal fiontair, éilíonn an Beartas um Bhailiú Fianaise agus Fóiréinsic, Ceanglais maidir leis an mbeartas a chur chun feidhme, clásal 6.3.1:

Déanfar logaí ó bhallaí dóiteáin, SIEM, gníomhairí críochphointe, ardáin Bainistíochta Aitheantais agus Rochtana (IAM), agus ardáin néil a onnmhairiú agus a stóráil i bhformáidí do-athraithe.

Cuireann an leagan do FBManna ráille cosanta comhréireachta leis. Deir an Beartas um Bhailiú Fianaise agus Fóiréinsic do FBManna, Cóireáil riosca agus eisceachtaí, clásal 7.2.1:

Íoslaghdaigh raon feidhme an bhailithe; ná bailigh ach an méid atá riachtanach.

Sin croílár logála atá feasach ar phríobháideachas: caomhnaigh an rud atá riachtanach, léirigh cén fáth a bhfuil sé riachtanach, sriain cé atá in ann é a fheiceáil, agus scrios é nuair a théann an cuspóir formheasta in éag.

Samhail rialaithe Clarysec d’fhianaise atá sábháilte ó thaobh príobháideachais de

In Zenith Blueprint: treochlár 30 céim d’iniúchóir, cuireann Clarysec logáil sa chéim Rialuithe i ngníomh, Céim 19: Rialuithe teicneolaíochta I. Míníonn an treoir ionchas rialaithe ISO/IEC 27002:2022:

A.8.15 – Logáil: “Ba cheart logaí a thaifeadann gníomhaíochtaí, eisceachtaí, lochtanna agus imeachtaí ábhartha eile a tháirgeadh, a stóráil, a chosaint agus a anailísiú.”

Treoraíonn an chéim chéanna eagraíochtaí chun logaí a ghiniúint d’imeachtaí tábhachtacha, iad a stóráil go slán ionas nach féidir iad a athrú, iad a choinneáil ar feadh tréimhse shainithe agus iad a anailísiú trí SIEM nó trí phróiseas athbhreithnithe. Nascann sí logáil freisin le fógra sáraithe GDPR, taifid teagmhais DORA, bainistíocht riosca NIS2 agus anailís COBIT ar logaí slándála.

Ach ní leor logáil amháin. Sa chéim Rialuithe i ngníomh chéanna, Céim 19, pléann Zenith Blueprint scriosadh. Tugann sé rabhadh go méadaíonn sonraí a choinnítear thar a luach oibríochtúil nochtadh agus riosca rialála, agus luann sé cúltacaí, seatanna agus cartlanna go sainráite. Tá sé seo tábhachtach toisc nach bhfuil riail choinneála SIEM fiúntach má choinníonn cartlanna loga macasamhlaithe nó buicéid stórála oibiachtaí sa néal an PII céanna gan teorainn.

I gCéim 23: Rialuithe eagraíochtúla, clúdaíonn Zenith Blueprint bailiú fianaise. Deir sé nach mór fianaise teagmhais a shainaithint, a bhailiú agus a chaomhnú ar bhealach atá inghlactha ó thaobh dlí de, iontaofa agus ailínithe le riachtanais imscrúdaithe. Leagann sé béim freisin ar réaltacht oibríochtúil: cailltear fianaise go minic sna chéad nóiméid den fhreagairt nuair a rothlaíonn logaí, nuair a atosaítear córais nó nuair a athraíonn riarthóirí cuntais chomhréitithe sula nglactar seatanna.

Tugann Céim 23 aghaidh freisin ar phríobháideachas agus cosaint PII. Cuireann an treoir PII i láthair mar shaincheist saolré a éilíonn feasacht sonraí, aicmiú, rialú rochtana, mascú, scriosadh, criptiú agus oibleagáidí soláthraithe. Maidir le logaí, ciallaíonn sé sin go gcaithfidh an SIEM, EDR, ardán logála néalbhunaithe agus córas ticéadaithe a bheith mar chuid den fhardal PII.

Mapáil thraschomhlíonta do PII i logaí

Déanann Zenith Controls: an treoir thraschomhlíonta rialú 8.15 ISO/IEC 27002:2022, Logáil, a mhapáil chuig rialuithe gaolmhara atá riachtanach do rialachas PII. Léiríonn na caidrimh seo cén fáth nach ábhar don SOC amháin í logáil.

Déanann Zenith Controls Logáil a mhapáil freisin chuig clásal 8.15 ISO/IEC 27002:2022, ISO/IEC 27035-1 agus ISO/IEC 27035-2 do bhainistíocht teagmhais, ISO/IEC 27701 do logáil gníomhaíochtaí próiseála PII, ISO/IEC 27017 do logaí iniúchta néil, ISO/IEC 27018 do logáil rochtana PII sa néal, ISO/IEC 27005 do rioscaí ó logáil neamhleor, ISO/IEC 27033 do logáil gníomhaíochta líonra agus ISO/IEC 15408-2 d’fheidhmiúlacht iniúchta i dtáirgí measúnaithe.

Maidir le príobháideachas go sonrach, déanann Zenith Controls rialú 5.34 ISO/IEC 27002:2022, Príobháideachas agus cosaint PII, a mhapáil chuig fardal sócmhainní, mascú sonraí, seirbhísí néil, aicmiú, aistriú faisnéise, rialú rochtana, bainistíocht aitheantais agus athbhreithniú slándála ar thionscadail agus ar athruithe. I gclár rialachais logaí, is ceanglais dearaidh phraiticiúla iad na naisc sin:

• Déan stórtha logaí a fhardalú mar láithreacha PII.
• Mascáil nó déan tócaeniú ar PII nuair nach bhfuil aitheantóirí iomlána riachtanach.
• Déan athbhreithniú ar sheirbhísí logála néil agus ar dhíoltóirí SIEM faoi rialuithe néil agus soláthraithe.
• Aicmigh logaí ina bhfuil PII mar thaifid íogaire.
• Rialaigh onnmhairithe agus aistrithe logaí mar aistrithe PII.
• Sriain rochtain ar logaí trí rialuithe aitheantais agus rochtana pribhléidí.
• Déan athbhreithniú ar athruithe ar logáil feidhmchláir roimh eisiúint táirgthe.

GDPR, NIS2 agus DORA: loga amháin, trí lionsa rialála

D’fhéadfaí féachaint ar an iontráil loga chéanna ar bhealaí éagsúla faoi GDPR, NIS2 agus DORA.

Faoi GDPR, fiafraíonn an eagraíocht an bhfuil sonraí pearsanta san iontráil loga, cén bonn dlíthiúil a thacaíonn leis an bpróiseáil, an bhfuil na sonraí riachtanach, cá fhad a choinnítear iad, cé atá in ann rochtain a fháil orthu, an nochtar iad do phróiseálaithe nó do chustaiméirí, agus an gá iad a bhreithniú in iarratas maidir le cearta nó i measúnú sáraithe.

Faoi NIS2, fiafraíonn an eagraíocht an dtacaíonn logaí le bainistíocht rioscaí cibearshlándála, láimhseáil teagmhas, leanúnachas gnó, rialú rochtana, slándáil slabhra soláthair agus measúnú ar éifeachtacht rialuithe. Cuireann NIS2 Article 20 cuntasacht ar chomhlachtaí bainistíochta as bearta bainistíochta rioscaí cibearshlándála a fhormheas agus a mhaoirsiú. Éilíonn Article 21 bearta teicniúla, oibríochtúla agus eagraíochtúla iomchuí agus comhréireacha, lena n-áirítear láimhseáil teagmhas, leanúnachas gnó, slándáil slabhra soláthair, forbairt shlán, láimhseáil leochaileachtaí, measúnú éifeachtachta, sláinteachas cibear, rialú rochtana agus bainistíocht sócmhainní. Cruthaíonn Article 23 tuairisciú céimnithe ar theagmhais shuntasacha, lena n-áirítear rabhadh luath laistigh de 24 uair an chloig, fógra laistigh de 72 uair an chloig agus tuarascáil deiridh laistigh de mhí amháin.

Faoi DORA, ní mór d’eintitis airgeadais creat bainistíochta rioscaí TFC doiciméadaithe a oibriú. Sannann DORA Article 5 freagracht don chomhlacht bainistíochta. Pléann Article 10 brath. Éilíonn Article 17 próiseas bainistíochta teagmhas a bhaineann le TFC. Clúdaíonn Article 18 aicmiú teagmhas a bhaineann le TFC agus cibearbhagairtí. Pléann Article 19 tuairisciú mórtheagmhas a bhaineann le TFC. Tacaíonn logaí le brath, aicmiú, anailís ar bhunchúis, measúnú tionchair, freagairt, téarnamh agus fianaise ar leigheas.

Cuidíonn crosmhapáil rialuithe níos mionsonraithe leis an CISO logáil a údarú gan brath ar ráitis dhoiléire amhail “tá sé de dhíth orainn don tslándáil.”

Tóg raon feidhme logála PII in REG12

Dhéanfadh cliant Clarysec an teagmhas SIEM 02:17 a láimhseáil sula dtarlódh sé riamh. Tosaíonn an eagraíocht le feidhmchlár atá os comhair custaiméirí agus a phróiseálann sonraí cuntais. Roimh tháirgeadh, úsáideann úinéir an fheidhmchláir REG12 chun raon feidhme logála PII a shainiú. Is é an cuspóir dóthain imeachtaí a ghabháil le haghaidh slándála agus fianaise rialála gan sonraí pearsanta neamhriachtanacha ná inneachar ualaigh sonraí a logáil.

Ansin deimhníonn an ceannaire príobháideachais an bhfuil an eagraíocht ag gníomhú mar rialaitheoir, próiseálaí nó mar an dá rud do gach foinse loga. Má tá an eagraíocht ina próiseálaí, d’fhéadfadh treoracha conarthacha custaiméara agus nochtuithe fo-phróiseálaithe rochtain agus comhroinnt logaí a shrianadh. Más rialaitheoir í, ní mór aghaidh a thabhairt ar fhógraí príobháideachais, ar bhonn dlíthiúil agus ar láimhseáil ceart.

Nuashonraíonn Úinéir na Sonraí REG02 ansin chun stórtha logaí beo, innéacsanna SIEM, cartlanna, cúltacaí agus onnmhairithe sealadacha fóiréinseacha a áireamh. Ailíníonn sé seo leis an Beartas um Choinneáil, Léirscriosadh agus Diúscairt PII, Cúltacaí, cartlanna, macasamhlacha, logaí agus comhaid shealadacha, clásal 4.4.1:

[Both] Ní mór don Úinéir Córais / Úinéir Feidhmchláir stórtha beo, cartlanna, cóipeanna cúltaca, macasamhlacha, logaí, limistéir stáitsithe agus comhaid shealadacha ina bhfuil PII a shainaithint in REG02 roimh chur beo sa timpeallacht táirgthe agus le linn gach athbhreithnithe bliantúil coinneála.

Ba cheart don Beartas um Choinneáil agus Diúscairt Sonraí rialacha coinneála gnó a ailíniú ansin le ceanglais dhlíthiúla, chonarthacha agus chaomhnaithe fianaise.

Ar deireadh, cumraíonn an fhoireann slándála an SIEM ionas go mbaintear nó go n-eagraítear pasfhocail, rúin agus coirp ualaigh sonraí roimh ionghabháil. Sanntar innéacsanna srianta do logaí ina bhfuil PII. Cuirtear coinneáil i bhfeidhm go huathoibríoch mura bhfuil teagmhas nó coinneáil dhlíthiúil formheasta ann. Déantar gníomhartha scriosta a logáil. Éilíonn onnmhairithe fóiréinseacha formheas agus rianú slabhra coimeádta. Taispeánann deais aitheantóirí faoi ainm bréige nuair nach bhfuil aitheantas iomlán de dhíth. Déantar tástáil ar aisghabháil logaí stairiúla le linn iniúchtaí inmheánacha.

Sin é an difríocht idir “logaímid ar chúiseanna slándála” a rá agus a chruthú “ní logálaimid ach an méid atá riachtanach, cosnaímid é, coinnímid é faoi rialacha formheasta agus is féidir linn é a úsáid mar fhianaise gan oibleagáidí príobháideachais a shárú.”

DSARanna, léirscriosadh agus logaí: déan cinneadh sula dtagann an t-iarratas

Ceann de na ceisteanna is deacra ná an gá logaí a chuardach, a nochtadh nó a scriosadh mar fhreagairt ar iarrataí rochtana ó ábhair sonraí nó ar iarrataí léirscriosta. Braitheann an freagra ar ról, cuspóir, bonn dlíthiúil, indéantacht, díolúintí agus oibleagáidí coinneála. Ach ní féidir an próiseas rialachais a chumadh ó iarratas go hiarratas.

Deir an Beartas um Bainistíocht Cearta Ábhar PII, Fíorú aitheantais, raon feidhme agus meastóireacht, clásal 4.2.3:

[Controller] Ní mór don Úinéir Próisis / Úinéir Gnó córais, taifid, críocha, catagóirí PII, faighteoirí agus srianta coinneála ábhartha a shainaithint ó REG02 sula ndéantar comhlíonadh iarratais a mheas.

Ciallaíonn sé sin gur gá logaí a bheith in REG02 le meiteashonraí soiléire: cad iad na catagóirí PII atá iontu, cén cuspóir a bhfreastalaíonn siad air, cén srian coinneála atá i bhfeidhm agus an féidir iarratas a chomhlíonadh trí nochtadh díreach, rochtain achoimrithe, srianadh, scriosadh ar dhul in éag nó diúltú bunaithe ar fhoras dlíthiúil doiciméadaithe.

Molann Clarysec cur chuige trí shraith:

1. Logaí oibríochtúla le tionchar íseal príobháideachais, amhail logaí imeachtaí córais a úsáideann aitheantais úsáideora faoi ainm bréige, d’fhéadfadh siad a bheith inchuardaithe agus innochta nuair is iomchuí.
2. Logaí slándála le híogaireacht ard slándála, amhail sonraí comhghaolaithe SIEM nó comhthéacs faisnéise bagairtí, d’fhéadfadh scagadh, nochtadh achoimrithe nó srianadh a bheith de dhíth orthu chun loighic bhrathadóireachta nó sonraí tríú páirtí a chosaint.
3. Fianaise fhóiréinseach faoi theagmhas gníomhach nó coinneáil dhlíthiúil níor cheart í a athrú go neamhchúramach. Féadfar léirscriosadh a chur siar nó a shrianadh nuair atá bonn dlíthiúil leis, agus an cinneadh a dhoiciméadú ag páirtithe leasmhara príobháideachais agus dlí.

Má phléann an tOCS agus an SOC gach DSAR ón tús, beidh an eagraíocht mall agus neamhchomhsheasmhach. Má choinnítear REG02 agus REG12 cothrom le dáta, bíonn láimhseáil ceart bunaithe ar fhianaise.

Tuairisciú sáraithe agus teagmhais: imeacht amháin, roinnt cloig

D’fhéadfadh an foláireamh 02:17 roinnt cloig a thosú. D’fhéadfadh measúnú sáraithe sonraí pearsanta GDPR fógra don údarás maoirseachta a éileamh nuair a chomhlíontar tairseacha riosca. D’fhéadfadh tuairisciú teagmhais shuntasaigh NIS2 rabhadh luath 24 uair an chloig, fógra 72 uair an chloig agus tuarascáil deiridh a éileamh. D’fhéadfadh DORA tuairisciú mórtheagmhais a bhaineann le TFC a éileamh trí chéimeanna tosaigh, idirmheánacha agus deiridh. D’fhéadfadh fuinneoga fógra níos giorra fós a bheith i gconarthaí custaiméirí.

Tugann Beartas um Bainistíocht Teagmhas agus Sáruithe PII Clarysec aghaidh dhíreach ar fhadhb na dtruicear trasnacha seo. Ó Aicmiú agus measúnú sáraithe, clásal 4.2.6:

[Conditional] Ní mór don Cheannaire Príobháideachais / Bainisteoir PIMS truicear tuairiscithe dlíthiúla, earnála, earnála airgeadais, cibearshlándála, conarthacha, custaiméara agus faighteora seirbhíse is infheidhme a mheas do gach teagmhas PII ardtionchair agus toradh na hinfheidhmeachta a thaifeadadh in REG01, REG08 agus REG10.

Le linn triáise, ba cheart don eagraíocht fiafraí:

• Ar fuair an t-ionsaitheoir rochtain ar shonraí pearsanta, nó ar mheiteashonraí amháin?
• Ar nocht na logaí PII breise d’úsáideoirí neamhúdaraithe?
• An bhfuil logaí de dhíth chun na daoine, na córais agus an tréimhse lena mbaineann a chinneadh?
• An bhfuil logaí stóráilte go do-athraithe agus faoi shrian rochtana?
• Ar chuir coinneáil teagmhais scriosadh ar fionraí do na logaí ábhartha?
• An bhfuil custaiméirí próiseálaithe, custaiméirí earnála airgeadais nó faighteoirí seirbhíse lena mbaineann?
• Cé na cloig thuairiscithe atá i bhfeidhm, agus cé leis gach fógra?

Luathaíonn logaí atá rialaithe go maith tuairisciú toisc go dtugann siad fíricí iontaofa do lucht cinnteoireachta. Cruthaíonn drochlogáil moill. Cruthaíonn ró-logáil riosca príobháideachais. Is é an freagra ceart logáil spriocdhírithe, chosanta agus mhapáilte.

Logáil soláthraithe agus néil: fadhb an phróiseálaí atá i bhfolach i do SIEM

Ní stórálann formhór na n-eagraíochtaí gach loga ar bhonneagar atá faoina lánrialú féin. Sreabhann logaí chuig ardáin SIEM, tairseacha EDR, seirbhísí logála dúchasacha néil, uirlisí infheictheachta, córais ticéadaithe agus soláthraithe braite agus freagartha bainistithe. Faoi GDPR, d’fhéadfadh na soláthraithe seo a bheith ina bpróiseálaithe nó ina bhfo-phróiseálaithe. Faoi NIS2 agus DORA, d’fhéadfadh siad a bheith ina soláthraithe díreacha, ina soláthraithe seirbhíse TFC tríú páirtí, ina Soláthraithe Seirbhíse Bainistithe nó ina soláthraithe seirbhíse slándála bainistithe freisin.

Áiríonn NIS2 Article 21 slándáil slabhra soláthair, leochaileachtaí soláthraithe agus cleachtais chibearshlándála foriomlána soláthraithe go sainráite. Cuireann DORA ceanglais mhionsonraithe riosca TFC tríú páirtí leis d’eintitis airgeadais, lena n-áirítear dícheall cuí réamhchonarthach, cláir faisnéise, cearta iniúchta agus rochtana, cúnamh teagmhais, suíomh sonraí, clásail cosanta sonraí, straitéisí scoir agus forálacha conartha le haghaidh feidhmeanna criticiúla nó tábhachtacha.

Maidir le PII i logaí slándála, ba cheart na ceisteanna seo a leanas a áireamh in athbhreithnithe soláthraithe:

Ní síntiús bogearraí amháin é conradh SIEM. Is spleáchas próiseála PII agus fianaise teagmhais é.

Lionsa iniúchta: conas a thástálann measúnóirí PII i logaí slándála

Ní ghlacfaidh iniúchóir maith le ráiteas go bhfuil “logaí cosanta.” Tástálfaidh sé an slabhra ón mbeartas go dtí an chumraíocht, go dtí an fhianaise agus go dtí an t-athbhreithniú.

Tá tástáil iniúchta phraiticiúil simplí ach nochtach: iarr ar an SOC iontráil loga ó dheich mí ó shin a aisghabháil a léiríonn athrú rochtana pribhléidí in ardán néil, a chruthú cé a fuair rochtain ar an loga sin, a chruthú nár athraíodh é, an riail choinneála a thaispeáint a cheadaigh dó a bheith ann, na réimsí PII atá ann a thaispeáint, agus conas a láimhseálfaí é i DSAR nó i dtuarascáil teagmhais a thaispeáint. Mura féidir leis an bhfoireann freagra a thabhairt thar shlándáil, príobháideachas agus comhlíonadh, tá an rialachas neamhiomlán.

Fionnachtana coitianta in iniúchtaí logaí PII

Feiceann Clarysec na patrúin chéanna go minic:

• Logálann foirne feidhmchlár ualaí sonraí iomlána iarratais chun críocha dífhabhtaithe, lena n-áirítear ainmneacha, ríomhphoist, uimhreacha cuntais nó inneachar teachtaireachtaí.
• Tá innéacsanna SIEM oscailte do ghrúpaí leathana riarthóirí TF in ionad róil srianta SOC.
• Socraítear coinneáil logaí go domhanda gan íogaireacht PII, conarthaí custaiméirí ná rialacha coinneála teagmhais a chur san áireamh.
• Tá logaí soláthraí néil cumasaithe, ach ní dhéantar athbhreithniú ar rochtain riarthóra soláthraí ar shonraí loga custaiméara.
• Ní luaitear logaí, cásanna SIEM ná onnmhairithe fóiréinseacha i nósanna imeachta DSAR.
• Caomhnaíonn treoracha oibríochtúla freagartha ar theagmhais fianaise, ach níl foirne príobháideachais páirteach san aicmiú.
• Coinníonn cúltacaí agus cartlanna PII i logaí níos faide ná an SIEM.
• Is féidir le forbróirí leibhéil logála sa timpeallacht táirgthe a athrú gan athbhreithniú príobháideachais ná slándála.
• Faigheann timpeallachtaí tástála logaí táirgthe ina bhfuil sonraí pearsanta.
• Tá oibleagáidí tuairiscithe NIS2 nó DORA ar an eagraíocht ach ní féidir léi fianaise iontaofa a aisghabháil go tapa.

Is annamh a eascraíonn na fionnachtana seo as drochrún. Eascraíonn siad as úinéireacht shilóithe. Suíonn logaí slándála idir SOC, innealtóireacht ardáin, príobháideachas, dlí, comhlíonadh, iniúchadh agus díoltóirí. Má tá an saolré iomlán gan úinéir, tagann bearnaí chun cinn.

Seicliosta Clarysec do rialachas logaí atá réidh don iniúchadh

Úsáid an seicliosta seo mar phointe tosaithe oibre do do chéad athbhreithniú rialachais eile:

1. Sainigh cé na foinsí loga a d’fhéadfadh PII a bheith iontu: IAM, feidhmchlár, geata API, SIEM, EDR, néal, bunachar sonraí, líonra, rochtain fhisiciúil agus ticéadú.
2. Taifead gach stór loga in REG02, lena n-áirítear stórtha beo, cartlanna, cúltacaí, macasamhlacha agus onnmhairithe sealadacha fóiréinseacha.
3. Sainigh raon feidhme logála PII in REG12 roimh úsáid táirgthe nó athruithe ábhartha.
4. Sainaithin cuspóir agus bonn dlíthiúil do phróiseáil logaí slándála.
5. Cuir cosc ar phasfhocail, rúin, tóicíní iomlána agus ualaí sonraí neamhriachtanacha i logaí.
6. Úsáid mascú, haisiú nó ainm bréige nuair nach bhfuil aitheantóirí iomlána riachtanach.
7. Sriain rochtain ar logaí ina bhfuil PII de réir róil, le hathbhreithniú ar rochtain phribhléidí.
8. Stóráil logaí ardluacha i bhformáidí do-athraithe nó cosanta ar scríobh.
9. Sainigh coinneáil de réir cineál loga, oibleagáid dhlíthiúil, conradh, riachtanas teagmhais agus riosca príobháideachais.
10. Cuir coinneálacha teagmhais i bhfeidhm le formheas, raon feidhme agus dáta éaga.
11. Cuir logaí san áireamh i loighic mheasúnaithe DSAR agus léirscriosta.
12. Déan athbhreithniú ar sholáthraithe SIEM, EDR, néil agus MDR mar phróiseálaithe nó tríú páirtithe TFC.
13. Tástáil aisghabháil stairiúil agus sláine fianaise.
14. Mapáil logáil chuig riachtanais tuairiscithe GDPR, ISO 27701, NIS2, DORA, NIST CSF agus COBIT.
15. Cuir oiliúint ar fhoirne SOC, príobháideachais agus feidhmchlár maidir leis an méid is ceadmhach agus nach ceadmhach a logáil.

Athraíonn an seicliosta seo logáil atá feasach ar phríobháideachas ina próiseas rialaithe in-athúsáidte.

Ó aincheist go muinín ar leibhéal an Bhoird

Déanann NIS2 freagracht bainistíochta den chibearshlándáil. Déanann DORA an comhlacht bainistíochta freagrach as bainistíocht rioscaí TFC, straitéis athléimneachta oibríochtúla digití, rúndacht sonraí, cumarsáid teagmhais agus beartais seirbhíse TFC tríú páirtí. Éilíonn ISO/IEC 27001:2022 ar an ardbhainistíocht an ISMS a ailíniú le cuspóirí gnó, freagrachtaí a shannadh, acmhainní a sholáthar agus feabhsú leanúnach a bhrú chun cinn.

Dá bhrí sin, ní mionsonra teicniúil cúng é PII i logaí slándála. Is saincheist muiníne ar leibhéal an Bhoird é. Braitheann cumas na heagraíochta teagmhais a bhrath, sonraí pearsanta a chosaint, fianaise a chaomhnú, freagra a thabhairt do chustaiméirí, rialálaithe a shásamh agus oibríochtaí a athshlánú ar chinntí logála a dhéantar i bhfad roimh an teagmhas.

Ní roghnaíonn na cláir rialachais is fearr idir príobháideachas agus slándáil. Sainíonn siad an logáil íosta atá riachtanach do shlándáil láidir, cosnaíonn siad an logáil sin mar PII íogair nuair is gá, agus nascann siad í le coinneáil, fianaise, láimhseáil ceart agus oibleagáidí soláthraithe.

Na chéad chéimeanna eile le Clarysec

Má tá sonraí pearsanta i do logaí SIEM, IAM, EDR nó néil, is é seo an t-am chun iad a rialú go hintinneach.

Is féidir le Clarysec cabhrú leat:

• Raon feidhme logála PII a thógáil le REG12 agus é a ailíniú le Beartas Slándála agus Rialaithe Rochtana PII.
• Stórtha logaí, cartlanna, cúltacaí agus onnmhairithe fóiréinseacha a fhardalú le REG02 agus Beartas um Choinneáil, Léirscriosadh agus Diúscairt PII.
• Rialuithe logála, faireacháin, fianaise agus príobháideachais a ailíniú le Zenith Blueprint.
• Do rialuithe a mhapáil thar GDPR, ISO 27701, NIS2, DORA, NIST CSF agus COBIT le Zenith Controls.
• Fianaise atá réidh don iniúchadh a ullmhú d’athbhreithnithe dearbhaithe ISO, príobháideachais, NIST, COBIT, NIS2 agus DORA.

Tosaigh le córas ardriosca amháin: d’ardán IAM, SIEM nó feidhmchlár atá os comhair custaiméirí. Sainaithin cén PII a théann isteach sna logaí, cén fáth a bhfuil sé de dhíth, cé atá in ann rochtain a fháil air, cá fhad a choinnítear é agus conas a d’úsáidfí é le linn teagmhais nó iarratais maidir le cearta. Nochtfaidh an cleachtadh aonair sin an bhfuil do chlár logála reatha oibríochtúil amháin, nó fíor-réidh don iniúchadh.