Személyes adatok a biztonsági naplókban: GDPR, NIS2 és DORA forgatókönyv

Egy biztonsági elemző 02:17-kor megnyitja a SIEM-et. A riasztás elsőre rutinszerűnek tűnik: több sikertelen bejelentkezés, egy sikeres munkamenet szokatlan IP-címről, majd API-hívások sorozata egy ügyféladat-export végpont ellen. Perceken belül megtelik az incidenscsatorna. A CISO tudni akarja, fiókátvételről van-e szó. A jogi terület azt kérdezi, tartalmaznak-e a naplók személyes adatokat. A DPO azt kérdezi, hogy a SIEM-ben szereplő felhasználói azonosító, IP-cím, eszközazonosító és kérés-URL-ek lefedettek-e az adatvédelmi tájékoztatóban és az adatkezelési tevékenységek nyilvántartásában. A megfelelési vezető azt kérdezi, meg kell-e őrizni a naplókat hatósági jelentéstétel céljából. Az ügyfélkapcsolati csapat azt kérdezi, kérheti-e egy ügyfél ugyanazon naplóbejegyzések törlését másnap.

Sok szervezet ekkor szembesül azzal, hogy a biztonsági naplózás és az adatvédelmi irányítás külön világként épült ki.

A biztonsági csapatok részletes naplókat, hosszú megőrzési időt, módosíthatatlan tárolást és gyors hozzáférést szeretnének. Az adatvédelmi csapatok adattakarékosságot, célhoz kötöttséget, szerepköralapú hozzáférést, fegyelmezett megőrzést és törlést várnak el, amikor az adatokra már nincs szükség. Az incidensreagálók azt szeretnék, hogy a bizonyítékok pontosan eredeti állapotukban maradjanak fenn. A GDPR szerinti elszámoltathatóság megköveteli, hogy a szervezet igazolni tudja, miért szerepel ott a személyes adat, ki fért hozzá, és mennyi ideig őrzi. A NIS2 és a DORA még sürgetőbbé teszi ezt, mert az alapvető és fontos szervezeteknek, valamint a pénzügyi szervezeteknek elegendő bizonyítékra van szükségük az incidensek besorolásához, határidőben történő jelentéséhez és az IKT-kockázatkezelés hatékonyságának igazolásához.

A kényelmetlen igazság egyszerű: a biztonsági naplók gyakran személyesadat-tárak. A hitelesítési naplók felhasználóneveket, e-mail-címeket, IP-címeket, eszköz-ujjlenyomatokat és földrajzi helyadatokat tartalmazhatnak. Az alkalmazásnaplók URL-eket, keresőkifejezéseket, hasznosteher-részleteket, ügyszámokat és üzenettartalmat fedhetnek fel. Az EDR- és felhőnaplók tartalmazhatnak munkavállalókhoz köthető hosztneveket, neveket tartalmazó fájlútvonalakat, munkamenet-azonosítókat és rendszergazdai műveleteket. Az IAM-naplók feltárhatnak jogosultságváltozásokat, csoporttagságot és érzékeny rendszerekhez kapcsolódó sikertelen hozzáférési kísérleteket.

Ha a naplók személyes adatokat tartalmaznak, már nem pusztán ISO 27001 szerinti naplózási kérdésről van szó. Adatvédelmi, megőrzési, bizonyítékkezelési, incidensjelentési és beszállítói irányítási kérdéssé válnak. A Clarysec a személyes adatokat tartalmazó biztonsági naplók irányítását keretrendszereken átívelő megfelelőségi problémaként kezeli, nem eszközkonfigurációs feladatként.

A CISO valódi dilemmája: észlelési bizonyítékok és adattakarékosság

A 02:17-es forgatókönyvben a CISO valós működési konfliktussal szembesül. Ha a naplók túl szűk körűek, a SOC nem tudja észlelni a kompromittálódást, rekonstruálni az idővonalat, vagy támogatni a NIS2 és DORA szerinti jelentéstételt. Ha a naplók túl bővek, a szervezet a szükségesnél több személyes adatot gyűjthet, túl hosszú ideig őrizheti azokat, túl sok rendszergazda számára teheti hozzáférhetővé, vagy nem tudja támogatni a GDPR szerinti érintetti jogokat és átláthatósági kötelezettségeket.

A GDPR tágan határozza meg a személyes adatot: azonosított vagy azonosítható természetes személyre vonatkozó információként. Az adatkezelés magában foglalja a gyűjtést, tárolást, felhasználást, közlést, törlést és megsemmisítést. A gyakorlatban az IP-címeket, felhasználói azonosítókat, eszközazonosítókat vagy tevékenységi bejegyzéseket tartalmazó naplók a kontextustól függően személyes adatok lehetnek. A GDPR alapelvei jogszerű, tisztességes és átlátható adatkezelést, célhoz kötöttséget, adattakarékosságot, tárolási korlátozást, integritást és bizalmas jelleget, valamint elszámoltathatóságot követelnek meg.

Az irányítási kérdés nem az, hogy „naplózhatunk-e valaha személyes adatokat”. A pontosabb kérdés ez: „Milyen személyes adatokat kell naplóznunk biztonsági, incidensreagálási és megfelelési célból, milyen jogalap támasztja ezt alá, milyen védelmi intézkedések vonatkoznak rájuk, és mikor kell törölni, anonimizálni vagy jóváhagyott zárolás alá helyezni őket?”

A Clarysec vállalati adatvédelmi szabályzati könyvtára közvetlenül kezeli ezt a feszültséget. A Adatvédelmi és magánszféra-védelmi szabályzat, a szabályzat végrehajtási követelményei, 6.2.1 pontja kimondja:

Csak meghatározott, jogszerű üzleti célhoz szükséges adatok gyűjthetők és kezelhetők.

KKV-k esetében ugyanez az alapelv szerepel a KKV adatvédelmi és magánszféra-védelmi szabályzatban, a szabályzat végrehajtási követelményei, 6.2.1 pontjában:

Csak a szükséges minimális személyes adat gyűjthető és őrizhető meg.

Ennek a mondatnak kell irányítania minden naplózástervezési döntést. Szükséges-e minden mező minden naplóforrásban egy meghatározott biztonsági, működési, jogi vagy szerződéses célhoz?

Miért változtatja meg az ISO 27701 a naplózásról szóló beszélgetést

Az ISO/IEC 27001:2022 adja az irányítási rendszert: hatály, érdekelt felek, kockázatértékelés, kockázatkezelés, operatív kontrollok, monitorozás, belső audit és folyamatos fejlesztés. Az ISO/IEC 27002:2022 gyakorlati kontrollútmutatást ad a naplózáshoz, a monitorozáshoz, a személyes adatok védelméhez, a bizonyítékgyűjtéshez, a nyilvántartások védelméhez, a törléshez, a hozzáférés-szabályozáshoz és a beszállítókezeléshez. Az ISO/IEC 27701 az irányítási modellt az adatvédelmi információkezelésre terjeszti ki, a PII-adatkezelőkre és adatfeldolgozókra, adatvédelmi szerepkörökre, PII-adatkezelési nyilvántartásokra, beépített adatvédelemre, joggyakorlási folyamatokra és adatfeldolgozói kötelezettségekre összpontosítva.

A biztonsági naplók esetében az ISO 27701 azért lényeges, mert olyan kifejezetten adatvédelmi kérdéseket kényszerít ki, amelyeket a biztonsági csapatok néha kihagynak:

• A naplóforrás adatkezelőként, adatfeldolgozóként, közös adatkezelőként vagy al-adatfeldolgozóként kezel PII-t?
• Szerepelnek a naplóadatok az adatkezelési tevékenységek nyilvántartásában?
• Tudja a szervezet, mely naplómezők tartalmaznak PII-t?
• A naplókban szereplő PII kapcsolódik megőrzési és törlési szabályokhoz?
• Az adatfeldolgozói ügyfelek tájékoztatást kapnak a PII-hozzáférés naplózásáról, ha ezt a szerződés megköveteli?
• Figyelembe veszik a naplókat hozzáférési, törlési vagy korlátozási kérelmek megválaszolásakor?
• A PII-incidenseket adatvédelmi, kiberbiztonsági és pénzügyi szektorbeli jelentéstételi kiváltó események mentén is értékelik?

A Clarysec PII biztonsági és hozzáférés-szabályozási szabályzata ezt működési követelményekké alakítja. A Naplózás és monitorozás, 4.6.1 pont szerint:

[Mindkettő] A rendszergazda / alkalmazástulajdonos KÖTELES meghatározni a PII-naplózás hatókörét a hitelesítési eseményekre, hozzáférési eseményekre, emelt jogosultságú műveletekre, PII-export tevékenységre és lényeges konfigurációváltozásokra vonatkozóan a REG12-ben, éles használat vagy lényeges változás előtt.

A 4.6.2 pont ezután lezárja a kört a naplózás, a hozzáférés-szabályozás és a megőrzés között:

[Mindkettő] Az információbiztonsági vezető KÖTELES biztosítani, hogy a PII-t tartalmazó naplók hozzáférés-korlátozás alatt álljanak, és a naplómonitorozás megkezdése előtt jóváhagyott megőrzési vagy törlési szabályhoz kapcsolódjanak a REG02-ben vagy a REG12-ben.

Ez teszi a PIMS-irányítást gyakorlativá. A REG12 meghatározza, milyen PII-naplózás engedélyezett és kötelező. A REG02 azonosítja, hol található PII, beleértve a naplókat is. A megőrzési és törlési szabályok nem utólag hozzáadott adminisztratív elemek. Az éles naplózás előfeltételeivé válnak.

A biztonsági naplók nyilvántartások, bizonyítékok és PII-adatkezelési tevékenységek

Egy érett szervezet nem kezeli a naplókat eldobható technikai melléktermékként. A naplók nyilvántartások. Incidens során jogi bizonyítékká válhatnak. Ha PII-t tartalmaznak, adatvédelmi irányítás alá tartozó adatkezelési adatok is.

A Clarysec Naplózási és monitorozási szabályzata meghatározza a napló-normalizálási elvárásokat. Az irányítási követelmények, 5.1.4 pont szerint:

Naplóformátumra és normalizálásra vonatkozó követelmények (pl. időbélyeg, felhasználói azonosító, eseménytípus, forrás IP-cím)

Pontosan ezek azok a mezők, amelyek a naplókat hasznossá teszik az incidensreagálás során. Ugyanakkor gyakran ezek a mezők teszik a naplókat személyes adattá. Ugyanez a vállalati szabályzat jelzi, mi nem történhet meg. Az irányítási követelmények, 5.3.3 pont szerint:

Érzékeny adatok tárolása olvasható szövegként (pl. jelszavak, kriptográfiai titkok)

Nem az a lényeg, hogy a naplók minden azonosítót kerüljenek. Hanem az, hogy az azonosítók szándékosak, védettek és indokoltak legyenek. Jelszavak, titkok, teljes tokenek és szükségtelen hasznos terhek nem kerülhetnek naplózásra. A felhasználói azonosítók, IP-címek és eseménymetaadatok szükségesek lehetnek, de kontrollokat igényelnek.

KKV-k esetében a Clarysec KKV naplózási és monitorozási szabályzata az adatvédelmi felülvizsgálatot beépíti a szerepköri struktúrába. A szerepkörök és felelősségek, 4.3.1 pont szerint a szervezet köteles:

Ellenőrizni, hogy a személyes vagy érzékeny információkra vonatkozó naplóadatokat a GDPR és más adatvédelmi jogszabályok szerint kezelik.

A KKV-változat egyértelmű alapértelmezett megőrzési követelményt is ad. Az irányítási követelmények, 5.2.1 pont szerint:

A naplókat legalább 12 hónapig meg kell őrizni, kivéve, ha jogszabály vagy szerződés hosszabb megőrzési időt ír elő, vagy ha azt aktív incidens vagy jogvita indokolja.

A védelemre vonatkozó elvárást is rögzíti. Az irányítási követelmények, 5.3.1 pont szerint:

A naplókat írásvédett helyeken kell tárolni, és a hozzáférést kizárólag jogosult személyekre kell korlátozni.

Vállalati incidensreagálás esetén a Bizonyítékgyűjtési és forenzikai szabályzat, a szabályzat végrehajtási követelményei, 6.3.1 pontja előírja:

A tűzfalakból, SIEM-ből, végponti ügynökökből, Identity and Access Management (IAM) platformokból és felhőplatformokból származó naplókat exportálni kell, és módosíthatatlan formátumban kell tárolni.

A KKV-változat arányossági korlátot ad hozzá. A KKV bizonyítékgyűjtési és forenzikai szabályzat, Kockázatkezelés és kivételek, 7.2.1 pont kimondja:

Minimalizálni kell a gyűjtés hatókörét; csak azt kell összegyűjteni, ami szükséges.

Ez az adatvédelmi szempontú naplózás lényege: megőrizni, ami szükséges, igazolni, miért szükséges, korlátozni, ki láthatja, és törölni, amikor a jóváhagyott cél megszűnik.

A Clarysec kontrollmodellje az adatvédelmi szempontból biztonságos bizonyítékokhoz

A Zenith Blueprint: 30 lépéses auditori ütemterv a naplózást a működő kontrollok szakaszába helyezi, a 19. lépésbe: Technikai kontrollok I. Az útmutató ismerteti az ISO/IEC 27002:2022 kontroll-elvárását:

A.8.15 – Naplózás: „A tevékenységeket, kivételeket, hibákat és más releváns eseményeket rögzítő naplókat elő kell állítani, tárolni kell, védeni kell és elemezni kell.”

Ugyanez a lépés előírja a szervezeteknek, hogy kulcsfontosságú eseményekről naplókat állítsanak elő, biztonságosan tárolják azokat úgy, hogy ne lehessen módosítani, meghatározott ideig őrizzék meg, és SIEM-en vagy felülvizsgálati folyamaton keresztül elemezzék. A naplózást összekapcsolja a GDPR szerinti incidensbejelentéssel, a DORA incidensnyilvántartásaival, a NIS2 kockázatkezeléssel és a COBIT szerinti biztonsági naplóelemzéssel is.

A naplózás önmagában azonban nem elegendő. Ugyanebben a működő kontrollok szakaszban, a 19. lépésben a Zenith Blueprint a törléssel is foglalkozik. Figyelmeztet, hogy a működési értéken túl megőrzött adatok növelik a kitettséget és a szabályozói kockázatot, és kifejezetten megemlíti a biztonsági mentéseket, pillanatképeket és archívumokat. Ez azért fontos, mert a SIEM megőrzési szabálya értelmetlen, ha a replikált naplóarchívumok vagy felhőalapú objektumtároló bucketek ugyanazt a PII-t határozatlan ideig megőrzik.

A 23. lépésben: Szervezeti kontrollok, a Zenith Blueprint a bizonyítékgyűjtést tárgyalja. Kimondja, hogy az incidensbizonyítékokat jogilag elfogadható, megbízható és a vizsgálati igényekkel összhangban álló módon kell azonosítani, összegyűjteni és megőrizni. Egy működési realitást is hangsúlyoz: a bizonyítékok gyakran a reagálás első perceiben vesznek el, amikor a naplók felülíródnak, a rendszereket újraindítják, vagy a rendszergazdák módosítják a kompromittálódott fiókokat, mielőtt pillanatképek készülnének.

A 23. lépés a PII adatvédelmével és védelmével is foglalkozik. Az útmutató a PII-t életciklus-kérdésként kezeli, amely adatismertséget, osztályozást, hozzáférés-szabályozást, maszkolást, törlést, titkosítást és beszállítói kötelezettségeket igényel. A naplók esetében ez azt jelenti, hogy a SIEM-nek, az EDR-nek, a felhőalapú naplózási platformnak és a jegykezelő rendszernek a PII-nyilvántartás részét kell képeznie.

Keretrendszereken átívelő megfeleltetés a naplókban szereplő PII-re

A Zenith Controls: keretrendszereken átívelő megfelelőségi útmutató az ISO/IEC 27002:2022 8.15 kontrollját, a Naplózást, olyan kapcsolódó kontrollokhoz rendeli, amelyek alapvetőek a PII-irányítás szempontjából. Ezek a kapcsolatok megmutatják, miért nem kizárólag SOC-kérdés a naplózás.

A Zenith Controls a Naplózást az ISO/IEC 27002:2022 8.15 pontjához, az incidenskezelésre vonatkozó ISO/IEC 27035-1 és ISO/IEC 27035-2 szabványokhoz, a PII-adatkezelési tevékenységek naplózására vonatkozó ISO/IEC 27701-hez, a felhőalapú auditnaplókra vonatkozó ISO/IEC 27017-hez, a felhőben tárolt PII-hozzáférés naplózására vonatkozó ISO/IEC 27018-hoz, az elégtelen naplózásból eredő kockázatokra vonatkozó ISO/IEC 27005-höz, a hálózati tevékenységek naplózására vonatkozó ISO/IEC 27033-hoz és az értékelt termékek auditfunkcionalitására vonatkozó ISO/IEC 15408-2-höz is megfelelteti.

Adatvédelmi szempontból a Zenith Controls az ISO/IEC 27002:2022 5.34 kontrollját, a PII adatvédelmét és védelmét, az eszköznyilvántartáshoz, adatmaszkoláshoz, felhőszolgáltatásokhoz, osztályozáshoz, információátvitelhez, hozzáférés-szabályozáshoz, identitáskezeléshez, valamint projektek és változások biztonsági felülvizsgálatához rendeli. Egy naplózási irányítási program esetében ezek a kapcsolatok gyakorlati tervezési követelményekké válnak:

• A naplótárakat PII-helyszínekként kell nyilvántartani.
• A PII-t maszkolni vagy tokenizálni kell, ahol teljes azonosítókra nincs szükség.
• A felhőalapú naplózási szolgáltatásokat és SIEM-beszállítókat felhő- és beszállítói kontrollok alapján kell felülvizsgálni.
• A PII-t tartalmazó naplókat érzékeny nyilvántartásként kell besorolni.
• A naplóexportokat és -továbbításokat PII-továbbításként kell irányítani.
• A naplóhozzáférést identitás- és kiemelt jogosultságú hozzáférés-kezelési kontrollokkal kell korlátozni.
• Az alkalmazásnaplózás változásait az éles kiadás előtt felül kell vizsgálni.

GDPR, NIS2 és DORA: egy napló, három szabályozói nézőpont

Ugyanaz a naplóbejegyzés eltérően értékelhető GDPR, NIS2 és DORA szerint.

GDPR alapján a szervezet azt vizsgálja, hogy a naplóbejegyzés tartalmaz-e személyes adatot, milyen jogalap támasztja alá az adatkezelést, szükséges-e az adat, mennyi ideig kerül megőrzésre, ki férhet hozzá, közlik-e adatfeldolgozókkal vagy ügyfelekkel, és figyelembe kell-e venni joggyakorlási kérelem vagy adatsértési értékelés során.

NIS2 alapján a szervezet azt vizsgálja, hogy a naplók támogatják-e a kiberbiztonsági kockázatkezelést, az incidenskezelést, az üzletmenet-folytonosságot, a hozzáférés-szabályozást, az ellátási lánc biztonságát és a kontrollhatékonyság értékelését. A NIS2 Article 20 az irányító testületeket teszi felelőssé a kiberbiztonsági kockázatkezelési intézkedések jóváhagyásáért és felügyeletéért. Az Article 21 megfelelő és arányos technikai, működési és szervezeti intézkedéseket ír elő, beleértve az incidenskezelést, az üzletmenet-folytonosságot, az ellátási lánc biztonságát, a biztonságos fejlesztést, a sérülékenységkezelést, a hatékonyságértékelést, a kiberhigiéniát, a hozzáférés-szabályozást és az eszközkezelést. Az Article 23 szakaszos jelentéstételt hoz létre jelentős incidensekre, beleértve a 24 órán belüli korai figyelmeztetést, a 72 órán belüli bejelentést és az egy hónapon belüli zárójelentést.

DORA alapján a pénzügyi szervezeteknek dokumentált IKT-kockázatkezelési keretrendszert kell működtetniük. A DORA Article 5 a felelősséget a vezető testülethez rendeli. Az Article 10 az észleléssel foglalkozik. Az Article 17 IKT-vonatkozású incidenskezelési folyamatot ír elő. Az Article 18 az IKT-vonatkozású incidensek és kiberfenyegetések besorolásával foglalkozik. Az Article 19 a súlyos IKT-vonatkozású incidensek jelentését szabályozza. A naplók támogatják az észlelést, besorolást, gyökérok-elemzést, hatásvizsgálatot, reagálást, helyreállítást és a helyesbítő intézkedések bizonyítékait.

Egy részletesebb kontroll-megfeleltetés segít a CISO-nak a naplózás indokolásában anélkül, hogy homályos kijelentésekre kellene támaszkodnia, például arra, hogy „biztonsági okból van rá szükség”.

PII-naplózási hatókör kialakítása a REG12-ben

Egy Clarysec-ügyfél a 02:17-es SIEM-incidenst már annak bekövetkezése előtt kezelné. A szervezet egy ügyféloldali alkalmazással kezd, amely fiókadatokat kezel. Élesítés előtt az alkalmazástulajdonos a REG12-t használja a PII-naplózási hatókör meghatározására. A cél elegendő esemény rögzítése biztonsági és szabályozói bizonyítékokhoz anélkül, hogy szükségtelen személyes adatokat vagy hasznosteher-tartalmat naplózna.

Ezután az adatvédelmi vezető megerősíti, hogy a szervezet adatkezelőként, adatfeldolgozóként vagy mindkettőként jár-e el az egyes naplóforrások esetében. Ha a szervezet adatfeldolgozó, az ügyfélutasítások és az al-adatfeldolgozói tájékoztatások korlátozhatják a naplóhozzáférést és -megosztást. Ha adatkezelő, az adatvédelmi tájékoztatókat, a jogalapot és a joggyakorlási folyamatokat kell kezelni.

Az adatgazda ezt követően frissíti a REG02-t, hogy tartalmazza az élő naplótárakat, SIEM-indexeket, archívumokat, biztonsági mentéseket és ideiglenes forenzikus exportokat. Ez összhangban van a PII megőrzési, törlési és megsemmisítési szabályzattal, Biztonsági mentések, archívumok, replikák, naplók és ideiglenes fájlok, 4.4.1 pont:

[Mindkettő] A rendszergazda / alkalmazástulajdonos KÖTELES azonosítani a PII-t tartalmazó élő adattárakat, archívumokat, biztonsági mentési példányokat, replikákat, naplókat, előéles területeket és ideiglenes fájlokat a REG02-ben az éles indulás előtt és minden éves megőrzési felülvizsgálat során.

A Adatmegőrzési és megsemmisítési szabályzat ezt követően köteles összehangolni az üzleti megőrzési szabályokat a jogi, szerződéses és bizonyítékmegőrzési követelményekkel.

Végül a biztonsági csapat úgy konfigurálja a SIEM-et, hogy a jelszavak, titkok és hasznos teher törzsek még a betöltés előtt eldobásra vagy kitakarásra kerüljenek. A PII-t tartalmazó naplók korlátozott indexekbe kerülnek. A megőrzés automatikusan érvényesül, kivéve, ha incidens miatti vagy jogi zárolást hagynak jóvá. A törlési műveletek naplózásra kerülnek. A forenzikus exportok jóváhagyást és bizonyítéklánc-követést igényelnek. Az irányítópultok álnevesített azonosítókat mutatnak, ahol nincs szükség teljes személyazonosságra. A historikus naplók visszakeresését belső auditok során tesztelik.

Ez a különbség aközött, hogy „biztonsági okból naplózunk”, és aközött, hogy bizonyítani tudjuk: „csak azt naplózzuk, ami szükséges, védjük, jóváhagyott szabályok szerint őrizzük meg, és bizonyítékként tudjuk felhasználni az adatvédelmi kötelezettségek megsértése nélkül.”

DSAR, törlés és naplók: döntse el a kérelem beérkezése előtt

Az egyik legnehezebb kérdés az, hogy az érintetti hozzáférési vagy törlési kérelmekre válaszul a naplókat keresni, közölni vagy törölni kell-e. A válasz a szerepkörtől, céltól, jogalaptól, megvalósíthatóságtól, kivételektől és megőrzési kötelezettségektől függ. Az irányítási folyamatot azonban nem szabad kérelemről kérelemre újra kitalálni.

A PII érintetti jogok kezelési szabályzata, Identitásellenőrzés, hatókör és értékelés, 4.2.3 pontja kimondja:

[Adatkezelő] A folyamatgazda / üzlettulajdonos KÖTELES azonosítani a releváns rendszereket, nyilvántartásokat, célokat, PII-kategóriákat, címzetteket és megőrzési korlátokat a REG02-ből a teljesítés értékelése előtt.

Ez azt jelenti, hogy a naplóknak szerepelniük kell a REG02-ben egyértelmű metaadatokkal: milyen PII-kategóriákat tartalmaznak, milyen célt szolgálnak, milyen megőrzési korlát vonatkozik rájuk, és teljesíthető-e a kérelem közvetlen adatközléssel, összefoglaló hozzáféréssel, korlátozással, lejáratkori törléssel vagy dokumentált jogi alapon történő elutasítással.

A Clarysec háromszintű megközelítést javasol:

1. Alacsony adatvédelmi hatású működési naplók, például álnevesített felhasználói azonosítókat használó rendszeresemény-naplók, megfelelő esetben kereshetők és közölhetők lehetnek.
2. Magas biztonsági érzékenységű biztonsági naplók, például SIEM-korrelációs adatok vagy fenyegetettségi információk kontextusa, szűrést, összefoglaló adatközlést vagy korlátozást igényelhetnek az észlelési logika vagy harmadik fél adatok felfedésének elkerülése érdekében.
3. Aktív incidens vagy jogi zárolás alatt álló forenzikus bizonyítékok nem módosíthatók könnyelműen. A törlés jogilag indokolt esetben elhalasztható vagy korlátozható, a döntést pedig adatvédelmi és jogi érdekelt feleknek kell dokumentálniuk.

Ha a DPO és a SOC minden DSAR-t az alapoktól vitat meg, a szervezet következetlen és lassú lesz. Ha a REG02 és a REG12 naprakész, a joggyakorlás kezelése bizonyítékalapúvá válik.

Adatsértési és incidensjelentés: egy esemény, több óra

A 02:17-es riasztás több határidőt is elindíthat. A GDPR szerinti személyesadat-sértési értékelés felügyeleti hatósági értesítést tehet szükségessé, ha a kockázati küszöbértékek teljesülnek. A NIS2 szerinti jelentős incidensjelentés 24 órán belüli korai figyelmeztetést, 72 órán belüli bejelentést és zárójelentést írhat elő. A DORA súlyos IKT-vonatkozású incidensek jelentését követelheti meg kezdeti, köztes és záró szakaszokban. Az ügyfélszerződések még rövidebb értesítési ablakokat tartalmazhatnak.

A Clarysec PII incidens- és adatsértés-kezelési szabályzata közvetlenül kezeli ezt a többes kiváltó esemény problémát. A Besorolás és adatsértési értékelés, 4.2.6 pont szerint:

[Feltételes] Az adatvédelmi vezető / PIMS-vezető KÖTELES értékelni az alkalmazandó jogi, ágazati, pénzügyi szektorbeli, kiberbiztonsági, szerződéses, ügyfél- és szolgáltatás-igénybevevői jelentéstételi kiváltó eseményeket minden nagy hatású PII-incidens esetében, és rögzíteni az alkalmazhatósági eredményt a REG01-ben, REG08-ban és REG10-ben.

A triage során a szervezetnek meg kell kérdeznie:

• A támadó hozzáfért személyes adatokhoz, vagy csak metaadatokhoz?
• A naplók további PII-t tettek elérhetővé jogosulatlan felhasználók számára?
• Szükségesek-e a naplók az érintett személyek, rendszerek és időtartam meghatározásához?
• A naplók módosíthatatlanul tároltak és hozzáférés-korlátozottak?
• Egy incidens miatti zárolás felfüggesztette-e a releváns naplók törlését?
• Érintettek-e adatfeldolgozói ügyfelek, pénzügyi szektorbeli ügyfelek vagy szolgáltatás-igénybevevők?
• Mely jelentéstételi határidők alkalmazandók, és ki a felelőse az egyes értesítéseknek?

A jól irányított naplók gyorsítják a jelentéstételt, mert megbízható tényeket adnak a döntéshozóknak. A gyenge naplózás késedelmet okoz. A túlzott naplózás adatvédelmi kockázatot teremt. A helyes megoldás a célzott, védett és megfeleltetett naplózás.

Beszállítói és felhőnaplózás: az adatfeldolgozói probléma, amely a SIEM-ben rejtőzik

A legtöbb szervezet nem minden naplót tárol teljesen saját ellenőrzés alatt álló infrastruktúrán. A naplók SIEM-platformokba, EDR-portálokba, felhőnatív naplózási szolgáltatásokba, megfigyelhetőségi eszközökbe, jegykezelő rendszerekbe és menedzselt észlelési és reagálási szolgáltatókhoz áramlanak. GDPR szerint ezek a szolgáltatók adatfeldolgozók vagy al-adatfeldolgozók lehetnek. NIS2 és DORA szerint közvetlen beszállítók, IKT-szolgáltatást nyújtó harmadik felek, menedzselt szolgáltatók vagy menedzselt biztonsági szolgáltatók is lehetnek.

A NIS2 Article 21 kifejezetten tartalmazza az ellátási lánc biztonságát, a beszállítói sérülékenységeket és a beszállítók általános kiberbiztonsági gyakorlatait. A DORA részletes IKT-harmadikfél-kockázati követelményeket ad a pénzügyi szervezetek számára, beleértve a szerződéskötés előtti kellő gondosságot, az információs nyilvántartásokat, az auditálási és hozzáférési jogokat, az incidenstámogatást, az adatok helyét, az adatvédelmi záradékokat, a kilépési stratégiákat, valamint a kritikus vagy fontos funkciókra vonatkozó szerződéses rendelkezéseket.

A biztonsági naplókban szereplő PII esetében a beszállítói felülvizsgálatoknak ki kell terjedniük ezekre a kérdésekre:

Egy SIEM-szerződés nem pusztán szoftver-előfizetés. PII-adatkezelési és incidensbizonyíték-függőség.

Auditszemlélet: hogyan tesztelik az értékelők a PII-t a biztonsági naplókban

Egy jó auditor nem fogadja el azt az állítást, hogy „a naplók védettek”. Tesztelni fogja a láncot a szabályzattól a konfiguráción és bizonyítékokon át a felülvizsgálatig.

Egy gyakorlati auditteszt egyszerű, de sokatmondó: kérje meg a SOC-ot, hogy keressen vissza egy tíz hónappal korábbi naplóbejegyzést, amely egy felhőplatformon történt emelt jogosultságú módosítást mutat; igazolja, ki fért hozzá ehhez a naplóhoz; igazolja, hogy nem módosították; mutassa be a megőrzési szabályt, amely alapján létezhetett; mutassa be, milyen PII-mezőket tartalmaz; és mutassa be, hogyan kezelnék DSAR vagy incidensjelentés esetén. Ha a csapat biztonsági, adatvédelmi és megfelelési szempontból nem tud válaszolni, az irányítás hiányos.

Gyakori megállapítások PII-napló auditokban

A Clarysec gyakran ugyanazokat a mintázatokat látja:

• Az alkalmazáscsapatok hibakeresés céljából teljes kérés-hasznos terheket naplóznak, beleértve neveket, e-mail-címeket, számlaszámokat vagy üzenettartalmat.
• A SIEM-indexek széles IT-rendszergazdai csoportok számára nyitottak, nem pedig korlátozott SOC-szerepkörökre.
• A naplómegőrzés globálisan van beállítva, a PII érzékenysége, ügyfélszerződések vagy incidens miatti zárolási szabályok figyelembevétele nélkül.
• A felhőszolgáltatói naplók engedélyezettek, de a szolgáltató rendszergazdai hozzáférését az ügyfél naplóadataihoz nem vizsgálják felül.
• A DSAR-eljárások nem említik a naplókat, SIEM-ügyeket vagy forenzikus exportokat.
• Az incidensreagálási forgatókönyvek megőrzik a bizonyítékokat, de az adatvédelmi csapatok nem vesznek részt a besorolásban.
• A biztonsági mentések és archívumok tovább őrzik a PII-t tartalmazó naplókat, mint a SIEM.
• A fejlesztők adatvédelmi vagy biztonsági felülvizsgálat nélkül módosíthatják az éles naplózási szinteket.
• A tesztkörnyezetek személyes adatokat tartalmazó éles naplókat kapnak.
• A szervezetnek NIS2 vagy DORA szerinti jelentéstételi kötelezettségei vannak, de nem tud gyorsan megbízható bizonyítékokat visszakeresni.

Ezek a megállapítások ritkán rossz szándékból erednek. Elszigetelt felelősségből származnak. A biztonsági naplók a SOC, a platformmérnökség, az adatvédelem, a jogi terület, a megfelelés, az audit és a beszállítók között helyezkednek el. Ha senki sem felel a teljes életciklusért, hiányosságok jelennek meg.

Clarysec ellenőrzőlista auditra alkalmas naplóirányításhoz

Használja ezt az ellenőrzőlistát kiindulópontként a következő irányítási felülvizsgálathoz:

1. Határozza meg, mely naplóforrások tartalmazhatnak PII-t: IAM, alkalmazás, API-átjáró, SIEM, EDR, felhő, adatbázis, hálózat, fizikai hozzáférés és jegykezelés.
2. Rögzítsen minden naplótárat a REG02-ben, beleértve az élő tárakat, archívumokat, biztonsági mentéseket, replikákat és ideiglenes forenzikus exportokat.
3. Határozza meg a PII-naplózási hatókört a REG12-ben éles használat vagy lényeges változás előtt.
4. Azonosítsa a biztonsági naplókezelés célját és jogalapját.
5. Tiltsa a jelszavak, titkok, teljes tokenek és szükségtelen hasznos terhek naplózását.
6. Használjon maszkolást, hashelést vagy álnevesítést, ahol teljes azonosítókra nincs szükség.
7. Szerepkör alapján korlátozza a PII-t tartalmazó naplókhoz való hozzáférést, emelt jogosultságú hozzáférési felülvizsgálattal.
8. A nagy értékű naplókat módosíthatatlan vagy írásvédett formátumban tárolja.
9. Határozza meg a megőrzést naplótípus, jogi kötelezettség, szerződés, incidensszükséglet és adatvédelmi kockázat alapján.
10. Vezessen be incidens miatti zárolást jóváhagyással, hatókörrel és lejárattal.
11. Építse be a naplókat a DSAR- és törlési értékelési logikába.
12. Vizsgálja felül a SIEM-, EDR-, felhő- és MDR-beszállítókat adatfeldolgozóként vagy IKT-harmadik félként.
13. Tesztelje a historikus visszakeresést és a bizonyítékok sértetlenségét.
14. Feleltesse meg a naplózást a GDPR, ISO 27701, NIS2, DORA, NIST CSF és COBIT jelentéstételi igényeinek.
15. Képezze a SOC-, adatvédelmi és alkalmazáscsapatokat arra, hogy mi naplózható és mi nem.

Ez az ellenőrzőlista az adatvédelmi szempontú naplózást ismételhető kontrollfolyamattá alakítja.

Dilemmából vezetői szintű bizalom

A NIS2 a kiberbiztonságot vezetői felelősséggé teszi. A DORA a vezető testület felelősségévé teszi az IKT-kockázatkezelést, a digitális működési reziliencia stratégiát, az adatok bizalmasságát, az incidenskommunikációt és a harmadik fél IKT-szolgáltatásokra vonatkozó szabályzatokat. Az ISO/IEC 27001:2022 előírja, hogy a felső vezetés hangolja össze az ISMS-t az üzleti célokkal, rendeljen hozzá felelősségeket, biztosítson erőforrásokat és vezesse a folyamatos fejlesztést.

A biztonsági naplókban szereplő PII ezért nem szűk technikai részlet. Vezetői szintű bizalmi kérdés. A szervezet incidensészlelési, személyesadat-védelmi, bizonyítékmegőrzési, ügyfélválaszadási, szabályozói megfelelési és működéshelyreállítási képessége olyan naplózási döntésektől függ, amelyeket jóval az incidens előtt hoznak meg.

A legjobb irányítási programok nem választanak adatvédelem és biztonság között. Meghatározzák a robusztus biztonsághoz szükséges minimális naplózást, a naplózást szükség esetén érzékeny PII-ként védik, és összekapcsolják a megőrzéssel, bizonyítékkezeléssel, joggyakorlással és beszállítói kötelezettségekkel.

Következő lépések a Clarysec-kel

Ha a SIEM-, IAM-, EDR- vagy felhőnaplói személyes adatokat tartalmaznak, most kell tudatosan irányítás alá vonni őket.

A Clarysec segíthet Önnek:

• PII-naplózási hatókör kialakításában a REG12 használatával és annak összehangolásában a PII biztonsági és hozzáférés-szabályozási szabályzat követelményeivel.
• Naplótárak, archívumok, biztonsági mentések és forenzikus exportok nyilvántartásba vételében a REG02 és a PII megőrzési, törlési és megsemmisítési szabályzat használatával.
• A naplózási, monitorozási, bizonyítékkezelési és adatvédelmi kontrollok összehangolásában a Zenith Blueprint alapján.
• Kontrolljai megfeleltetésében GDPR, ISO 27701, NIS2, DORA, NIST CSF és COBIT szerint a Zenith Controls használatával.
• Auditra alkalmas bizonyítékok előkészítésében ISO, adatvédelmi, NIST, COBIT, NIS2 és DORA bizonyossági felülvizsgálatokhoz.

Kezdje egy magas kockázatú rendszerrel: az IAM-platformmal, a SIEM-mel vagy egy ügyféloldali alkalmazással. Azonosítsa, milyen PII kerül a naplókba, miért szükséges, ki férhet hozzá, mennyi ideig kerül megőrzésre, és hogyan használnák incidens vagy joggyakorlási kérelem során. Ez az egyetlen gyakorlat megmutatja, hogy jelenlegi naplózási programja pusztán működési célú-e, vagy valóban auditra alkalmas.