Quando un'autorità ti chiede "Come fai a sapere che quella persona ha acconsentito alle email di marketing?" oppure "Puoi dimostrare che quell'invio è stato elaborato correttamente?", ti servono prove. Gli audit trail e i report di conformità creano queste prove. Un audit trail è un registro dettagliato di ogni azione legata ai dati dei moduli: chi li ha consultati, quando, cosa ha cambiato e perché. Senza, non puoi dimostrare la conformità alle leggi sulla privacy né indagare sugli incidenti di sicurezza.
In questo articolo spieghiamo perché gli audit trail sono importanti, cosa registrare, come proteggere i log e come usarli per la conformità e per le indagini sulla sicurezza.
Cosa imparerai: cos'è un audit trail e perché è fondamentale, quali eventi registrare per la sicurezza dei moduli, per quanto tempo conservare i log, come proteggerli dalle manomissioni e come comportarti davanti ai controlli delle autorità.
Cos'è un audit trail?
Un audit trail è un registro cronologico delle attività legate ai dati. Risponde a domande come:
- Chi ha consultato questo invio di un modulo?
- Quando l'ha consultato?
- Che cosa ne ha fatto?
- Che cosa è stato modificato?
- Perché è stato modificato (se è annotato)?
- Da dove è partita l'azione (indirizzo IP, account utente)?
Un audit trail è come una telecamera di sicurezza per i tuoi dati. Registra cosa è successo, così puoi indagare se qualcosa va storto.
Perché gli audit trail sono essenziali
Dimostrare la conformità
Le autorità chiedono: "Hai eliminato questi dati nei tempi previsti? Puoi dimostrarlo?" Il tuo audit trail mostra esattamente quando è avvenuta l'eliminazione e se è stata automatica o manuale.
Indagare sulle violazioni
Se i dati vengono rubati, il tuo audit trail mostra chi vi ha avuto accesso. Puoi individuare il responsabile e capire come è avvenuta la violazione.
Individuare le minacce interne
Se un dipendente scarica tutti i dati dei clienti o li vende, l'audit trail rivela lo schema di accesso anomalo.
Rispondere alle richieste sui dati
Se qualcuno chiede di accedere ai propri dati, il tuo audit trail dimostra che gliel'hai concesso e quando. Se chiede l'eliminazione, il registro dimostra che hai eliminato i dati.
Rispettare i requisiti normativi
GDPR, HIPAA, PCI DSS e altre normative richiedono di registrare e monitorare l'accesso ai dati sensibili. Senza log, non superi il controllo.
Cosa registrare per la sicurezza dei moduli
Eventi di invio dei moduli
Registra ogni invio di un modulo:
- Quando è stato ricevuto l'invio (data e ora)
- Quali dati sono stati inviati (i nomi dei campi, non i valori completi per i campi sensibili)
- Da dove (indirizzo IP del visitatore, browser, tipo di dispositivo)
- Se l'invio ha superato la convalida ed è stato accettato o rifiutato
- Eventuali risultati del rilevamento di spam o bot
Log degli accessi
Registra quando qualcuno consulta gli invii dei moduli:
- Chi ha consultato i dati (account utente, email)
- Quando li ha consultati (data e ora)
- Quali dati ha consultato (ID dell'invio o campi dei dati)
- Da dove (indirizzo IP, luogo di accesso)
- Per quanto tempo li ha consultati
Log delle modifiche ai dati
Registra ogni modifica ai dati del modulo dopo l'invio:
- Chi ha fatto la modifica
- Cosa è stato modificato (valore vecchio e valore nuovo)
- Quando è stato modificato
- Perché (campo facoltativo per il motivo)
Log delle eliminazioni
Registra tutti gli eventi di eliminazione dei dati:
- Quali dati sono stati eliminati (ID degli invii o un riepilogo)
- Quando sono stati eliminati
- Perché sono stati eliminati (politica di conservazione automatica, richiesta dell'utente, eliminazione manuale da parte di un amministratore)
- Chi l'ha avviata (il sistema automatico o quale amministratore)
Eventi di consenso e conformità
Registra le azioni legate al consenso:
- Quando il consenso è stato dato o revocato
- A cosa ha acconsentito la persona (quali caselle)
- Versione dei termini del consenso che ha visto
- Indirizzo IP e dispositivo
- Data e ora del consenso
Log degli accessi falliti e delle attività sospette
Registra gli eventi di sicurezza:
- Tentativi di accesso falliti (nome utente, indirizzo IP, data e ora)
- Schemi di accesso insoliti (download di grandi quantità di dati, accessi da luoghi insoliti)
- Modifiche ai permessi (chi può accedere a quali dati)
- Escalation dei privilegi (quando qualcuno ottiene permessi più alti)
Come proteggere i log di audit
Archiviazione write-once
Conserva i log dove non possono essere modificati o eliminati dopo la creazione. Si chiama archiviazione "write-once" o WORM (Write Once, Read Many). Così gli attaccanti non possono cancellare le proprie tracce eliminando le voci del log.
Archiviazione separata dalla produzione
Tieni i log su un server o un sistema diverso dal database principale. Se il sistema principale viene compromesso, i log restano al sicuro e disponibili per le indagini.
Crittografa i log
I log stessi contengono informazioni sensibili. Crittografali sia a riposo sia in transito. Solo le persone autorizzate devono poterli leggere.
Registrazione centralizzata
Se hai più applicazioni e server, invia tutti i log a un servizio di registrazione centrale. Così non rischi che un singolo sistema compromesso faccia perdere i log.
Monitora i log in tempo reale
Non limitarti a raccogliere i log e dimenticarli. Imposta avvisi per gli eventi sospetti:
- Più accessi falliti dallo stesso IP
- Accesso ai dati da luoghi insoliti
- Download massivi di dati
- Eliminazione di grandi quantità di dati fuori dal calendario normale
Per quanto tempo conservare i log
I log di audit vanno conservati più a lungo dei dati a cui si riferiscono:
- Log degli invii dei moduli: almeno quanto i dati del modulo (spesso 1-7 anni)
- Log degli accessi: da 6 mesi a 1 anno come minimo (il GDPR consiglia 1 anno)
- Log degli accessi falliti: 90 giorni come minimo, meglio 1 anno
- Log delle eliminazioni: finché potrebbero chiederti conto dell'eliminazione (3-7 anni)
- Log di conformità (consenso, ecc.): finché esistono i dati stessi (con il GDPR, più a lungo di quanto conservi i dati dei clienti)
I log sono prove, quindi conservali più a lungo di quanto pensi. Se elimini un cliente tra 2 anni, conserva per altri 3-5 anni il log che attesta l'eliminazione, nel caso qualcuno lo chieda.
Rispondere ai controlli delle autorità con gli audit trail
Quando un'autorità chiede la prova della conformità, gli audit trail forniscono le prove:
Controllo del consenso GDPR
L'autorità chiede: "Come fai a sapere che questa persona ha acconsentito al marketing?"
Tu mostri: data e ora in cui ha spuntato la casella del "consenso al marketing", indirizzo IP, informazioni sul browser e versione del testo del consenso che ha visto.
Controllo sull'eliminazione dei dati
L'autorità chiede: "Puoi dimostrare di aver eliminato questi dati dopo 6 mesi?"
Tu mostri: il log delle eliminazioni con l'ID dell'invio, la data e l'ora dell'eliminazione e il fatto che è stata avviata in automatico dal sistema (a prova che la tua politica di conservazione ha funzionato).
Controllo degli accessi
L'autorità chiede: "Chi ha avuto accesso ai dati di questo cliente? Qualcuno vi ha avuto accesso senza autorizzazione?"
Tu mostri: i log degli accessi con l'elenco di ogni persona che ha consultato i dati, quando e da dove. Fai notare che tutti gli accessi sono avvenuti da parte di dipendenti autorizzati, in orario di lavoro e da luoghi previsti.
Risposta a un incidente di sicurezza
L'autorità chiede: "Com'è avvenuta questa violazione? Quante persone hanno avuto accesso ai dati?"
Tu mostri: log di accesso dettagliati che restringono il campo su chi può aver sottratto i dati, quando e quanti dati sono stati consultati. Individui il punto preciso in cui l'accesso non era autorizzato o il sistema è stato compromesso.
Usare i log per le indagini interne sulla sicurezza
Gli audit trail ti aiutano a indagare sui problemi:
Trovare la corruzione dei dati
Se i dati sono sbagliati, i log mostrano chi li ha modificati, quando e partendo da cosa. Puoi risalire alla causa all'origine del problema.
Indagare su sospette minacce interne
Se sospetti che un dipendente acceda ai dati in modo improprio, i log mostrano esattamente cosa ha consultato e quando.
Rispondere ai reclami sulla privacy
Se qualcuno si lamenta che i suoi dati non sono corretti o sono stati consultati senza permesso, i log forniscono la prova di ciò che è davvero successo.
Fare formazione sulla sicurezza
Usa i log per educare i dipendenti alla sicurezza. Mostra esempi di buone pratiche e di errori tratti dai log, così il team impara.
Automazione e avvisi
Non rivedere i log a mano ogni giorno. Imposta l'automazione:
- Avvisi sugli schemi sospetti: più accessi falliti, download massivi di dati, orari di accesso insoliti
- Report di conformità automatici: report mensili o trimestrali sulle attività di accesso, eliminazione e consenso
- Automazione della conservazione: elimina in automatico i log alla scadenza del loro periodo di conservazione
- Archivia i log vecchi: sposta i log più vecchi di 1 anno su un'archiviazione più economica per la conservazione a lungo termine
Errori comuni con gli audit trail
Registrare troppo poco. "L'utente ha consultato i dati" non basta. Servono IP, ora, quali dati e per quanto tempo.
Registrare nel posto sbagliato. Se i log stanno sullo stesso server della tua applicazione, una violazione può eliminare entrambi.
Non rivedere i log con regolarità. I log sono inutili se nessuno li guarda. Imposta avvisi automatici.
Eliminare i log troppo presto. I controlli delle autorità possono chiedere conto di attività di anni prima. Conserva i log più a lungo di quanto pensi serva.
Non crittografare i log. I log contengono informazioni sensibili. Proteggili come proteggi i dati stessi.
Cosa controllare per gli audit trail
WEMASY conserva gli invii dei tuoi moduli nel tuo account, dove puoi consultarli, esportarli e rimuoverli. Per i controlli delle autorità, tieni una tua registrazione di chi ha accesso a quei dati e di cosa è stato esportato o eliminato, e documenta le tue procedure di registrazione.
Scopri di più su registrazione e report di conformità nelle impostazioni del tuo account o nella pagina dei prezzi.