Logs de acesso a dados pessoais: registrar quem leu qual registro

O que é

Um log de acesso a dados pessoais registra leituras, e não apenas gravações: qual principal (um usuário da equipe, um serviço, uma ferramenta de suporte, um job de exportação) leu o registro de qual titular, quando, por qual caminho e com qual motivo declarado. Ele complementa o log de auditoria de mudanças de estado. Duas camadas podem produzi-lo. Na camada da aplicação, o handler que carrega o registro de um cliente emite um evento com o identificador do titular. Na camada do banco de dados, uma extensão como o pgAudit registra instruções; o README dela afirma que o object audit logging registra instruções que afetam uma relação específica e suporta SELECT, INSERT, UPDATE e DELETE, sendo configurado por meio de uma role com privilégios sobre as relações a monitorar. A NIST SP 800-92 trata da disciplina em torno do tema; seu resumo descreve orientações para estabelecer infraestruturas de gerenciamento de logs e processos de gerenciamento de logs, que é onde se enquadram o armazenamento, a proteção e a análise do próprio log de acesso.

Por que importa

As perguntas que esse log precisa responder são centradas no titular: "quem consultou os dados desta pessoa no último ano?" e "alguém leu registros fora da sua própria carteira de casos?". Nenhuma das duas pode ser respondida com logs de requisição indexados por URL. O uso indevido de ferramentas internas por funcionários autorizados é uma classe de incidente comumente relatada, que só um log de leitura consegue detectar.

Como aplicar

• Registre no caminho de leitura da aplicação, com um esquema fixo: actor, actor_type, subject_id, object, action, reason, request_id, at. Leituras em massa registram a consulta e o número de linhas, não cada linha.
• Torne o motivo um campo obrigatório nas ferramentas internas: um número de ticket ou uma opção de lista predefinida, já que texto livre é difícil de analisar depois.
• Crie índices por titular e por ator; monte os dois relatórios padrão (por titular ao longo do tempo e por ator em relação à carteira de casos esperada) antes do primeiro incidente, não durante ele.
• Use o log em nível de banco de dados para os caminhos que contornam a aplicação (SQL ad hoc, migrações, analistas) e concilie-o com o log da aplicação; uma leitura sem um evento correspondente na aplicação é um achado.
• Mantenha o próprio log de acesso sob acesso restrito e com retenção própria: ele é dado pessoal tanto do ator quanto do titular.
• Configure alertas para padrões: um ator lendo muitos titulares em uma janela curta, leituras de registros sinalizados, leituras fora do horário de trabalho para perfis que não têm expediente fora dele.

Armadilhas

Registrar toda visualização de lista gera volume sem informação; limite o escopo às visualizações de detalhe e às exportações. Um cache hit nunca chega ao handler, portanto registre na API de leitura, e não na chamada ao banco de dados. Um log de acesso que a equipe de suporte pode navegar revela quais colegas estão sob revisão. O log de instruções em nível de banco de dados pode capturar valores de parâmetros, o que coloca dados pessoais no log; no pgAudit, a configuração pgaudit.log_parameter controla se os parâmetros passados com uma instrução são incluídos.

Leituras em massa e exportações

Uma visualização de lista que exibe cinquenta clientes é uma leitura de cinquenta titulares, e uma exportação é uma leitura de todos os titulares nela contidos; a pergunta centrada no titular não pode ser respondida apenas com o texto da consulta e uma contagem, porque a consulta não pode ser reexecutada depois sobre os dados como eram naquele momento. Registre os identificadores dos titulares efetivamente exibidos: uma visualização de lista tem um tamanho de página, então o array é pequeno. Para uma exportação, armazene o manifesto de identificadores de titulares (ou uma lista de hashes) junto com o job de exportação e referencie-o a partir do evento do log de acesso. Somente relatórios agregados, cujas linhas não carregam nenhum identificador de titular, são registrados como consulta mais contagem. A configuração pgaudit.log_relation adiciona uma linha por relação acessada, o que basta para a conciliação com o log do banco de dados, mas não substitui os identificadores.