Quando um regulador pergunta "Como sabes que esta pessoa consentiu receber emails de marketing?" ou "Consegues provar que esta submissão foi tratada corretamente?", precisas de provas. Os registos de auditoria e os relatórios de conformidade criam essas provas. Um registo de auditoria é um registo detalhado de cada ação relacionada com os dados dos formulários: quem lhes acedeu, quando, o que alterou e porquê. Sem ele, não consegues provar a conformidade com as leis de privacidade nem investigar incidentes de segurança.
Este artigo explica porque é que os registos de auditoria importam, o que registar, como proteger os registos e como usá-los na conformidade e nas investigações de segurança.
O que vais aprender: o que é um registo de auditoria e porque é crítico, que eventos registar para a segurança dos formulários, durante quanto tempo guardar os registos, como protegê-los contra adulteração e como responder a auditorias regulatórias.
O que é um registo de auditoria?
Um registo de auditoria é um registo cronológico das atividades relacionadas com os dados. Responde a perguntas como:
- Quem acedeu a esta submissão de formulário?
- Quando acedeu?
- O que fez com ela?
- O que foi alterado?
- Porque foi alterado (se ficou anotado)?
- De onde veio a ação (endereço IP, conta de utilizador)?
Um registo de auditoria é como uma câmara de segurança para os teus dados. Regista o que aconteceu para poderes investigar se algo correr mal.
Porque é que os registos de auditoria são essenciais
Provar a conformidade
Os reguladores perguntam: "Eliminaste estes dados dentro do prazo? Consegues prová-lo?" O teu registo de auditoria mostra exatamente quando a eliminação aconteceu e se foi automática ou manual.
Investigar fugas de dados
Se os dados forem roubados, o registo de auditoria mostra quem lhes acedeu. Consegues identificar o responsável e perceber como a fuga aconteceu.
Detetar ameaças internas
Se um colaborador estiver a descarregar todos os dados de clientes ou a vendê-los, o registo de auditoria revela o padrão de acesso fora do normal.
Responder a pedidos de dados
Se alguém pedir acesso aos seus dados, o registo de auditoria prova que os forneceste e quando. Se pedir a eliminação, o registo prova que os eliminaste.
Cumprir requisitos regulatórios
O RGPD, a HIPAA, a PCI DSS e outros regulamentos exigem que registes e monitorizes o acesso a dados sensíveis. Sem registos, falhas a auditoria.
O que registar para a segurança dos formulários
Eventos de submissão de formulários
Regista cada submissão de formulário:
- Quando a submissão foi recebida (data e hora)
- Que dados foram submetidos (nomes dos campos, não os valores completos nos campos sensíveis)
- De onde (endereço IP do visitante, navegador, tipo de dispositivo)
- Se a submissão passou a validação e foi aceite ou rejeitada
- Quaisquer resultados de deteção de spam ou bots
Registos de acesso
Regista sempre que alguém acede às submissões de formulários:
- Quem acedeu aos dados (conta de utilizador, email)
- Quando acedeu (data e hora)
- A que dados acedeu (ID da submissão ou os campos de dados)
- De onde (endereço IP, local de login)
- Durante quanto tempo acedeu
Registos de alteração de dados
Regista qualquer alteração aos dados do formulário depois da submissão:
- Quem fez a alteração
- O que foi alterado (valor antigo vs. valor novo)
- Quando foi alterado
- Porquê (campo de motivo opcional)
Registos de eliminação
Regista todos os eventos de eliminação de dados:
- Que dados foram eliminados (IDs das submissões ou um resumo)
- Quando foram eliminados
- Porquê foram eliminados (política de retenção automática, pedido do utilizador, eliminação manual por um administrador)
- Quem a iniciou (sistema automático ou qual administrador)
Eventos de consentimento e conformidade
Regista as ações relacionadas com o consentimento:
- Quando o consentimento foi dado ou retirado
- O que a pessoa aceitou (que caixas de seleção)
- Versão dos termos de consentimento que viu
- Endereço IP e dispositivo
- Data e hora do consentimento
Registos de logins falhados e atividade suspeita
Regista eventos de segurança:
- Tentativas de login falhadas (nome de utilizador, endereço IP, data e hora)
- Padrões de acesso invulgares (grandes descargas de dados, acesso a partir de locais invulgares)
- Alterações de permissões (quem pode aceder a que dados)
- Escalada de privilégios (quando alguém obtém permissões mais altas)
Como proteger os registos de auditoria
Armazenamento de escrita única
Guarda os registos num sítio onde não possam ser modificados nem eliminados depois de criados. Chama-se armazenamento "write-once" ou WORM (Write Once, Read Many). Isto impede que os atacantes apaguem os seus rastos eliminando entradas dos registos.
Armazenamento separado da produção
Mantém os registos num servidor ou sistema diferente da tua base de dados principal. Se o sistema principal for comprometido, os registos ficam seguros e disponíveis para investigação.
Encripta os registos
Os próprios registos contêm informação sensível. Encripta-os em repouso e em trânsito. Só pessoas autorizadas devem poder ler os registos.
Registo centralizado
Se tens várias aplicações e servidores, envia todos os registos para um serviço central de registo. Assim evitas que sistemas individuais sejam comprometidos e os registos se percam.
Monitoriza os registos em tempo real
Não te limites a recolher registos e esquecê-los. Define alertas para eventos suspeitos:
- Vários logins falhados a partir do mesmo IP
- Acesso a dados a partir de locais invulgares
- Descargas de dados em massa
- Eliminação de grandes quantidades de dados fora do calendário normal
Durante quanto tempo guardar os registos
Os registos de auditoria devem ser guardados durante mais tempo do que os dados que abrangem:
- Registos de submissões de formulários: pelo menos o mesmo tempo que os dados do formulário (muitas vezes 1 a 7 anos)
- Registos de acesso: no mínimo 6 meses a 1 ano (o RGPD recomenda 1 ano)
- Registos de logins falhados: no mínimo 90 dias, de preferência 1 ano
- Registos de eliminação: enquanto te puderem perguntar sobre a eliminação (3 a 7 anos)
- Registos de conformidade (consentimento, etc.): enquanto os próprios dados (no caso do RGPD, mais tempo do que guardas os dados do cliente)
Os registos são provas, por isso guarda-os durante mais tempo do que pensas. Se eliminares um cliente daqui a 2 anos, guarda o registo dessa eliminação durante mais 3 a 5 anos, caso alguém pergunte.
Responder a auditorias regulatórias com registos de auditoria
Quando um regulador pede prova de conformidade, os registos de auditoria fornecem as provas:
Auditoria de consentimento do RGPD
O regulador pergunta: "Como sabes que esta pessoa consentiu receber marketing?"
Tu mostras: a data e hora em que assinalou a caixa de "consentimento de marketing", o endereço IP, os dados do navegador e a versão do texto de consentimento que viu.
Auditoria de eliminação de dados
O regulador pergunta: "Consegues provar que eliminaste estes dados ao fim de 6 meses?"
Tu mostras: o registo de eliminação com o ID da submissão, a data e hora da eliminação e a eliminação automática iniciada pelo sistema (a provar que a tua política de retenção funcionou).
Auditoria de acessos
O regulador pergunta: "Quem teve acesso aos dados deste cliente? Alguém acedeu sem autorização?"
Tu mostras: registos de acesso com todas as pessoas que acederam aos dados, quando e a partir de onde. Mostras que todos os acessos foram de colaboradores autorizados, em horário de expediente e a partir de locais esperados.
Resposta a incidentes de segurança
O regulador pergunta: "Como aconteceu esta fuga de dados? Quantas pessoas acederam aos dados?"
Tu mostras: registos de acesso detalhados que reduzem quem pode ter extraído os dados, quando e que quantidade de dados foi acedida. Identificas o ponto exato em que o acesso não foi autorizado ou o sistema foi comprometido.
Usar os registos em investigações internas de segurança
Os registos de auditoria ajudam-te a investigar problemas:
Encontrar corrupção de dados
Se os dados estiverem errados, os registos mostram quem os alterou, quando e a partir de quê. Consegues seguir o problema até à causa.
Investigar suspeitas de ameaças internas
Se suspeitas que um colaborador está a aceder a dados de forma indevida, os registos mostram exatamente a que acedeu e quando.
Responder a queixas de privacidade
Se alguém se queixar de que os seus dados não estão corretos ou foram acedidos sem permissão, os registos dão provas do que realmente aconteceu.
Dar formação em segurança
Usa os registos para educar os colaboradores sobre segurança. Mostra exemplos de boas práticas e de erros tirados dos registos, para a equipa aprender.
Automação e alertas
Não revejas os registos à mão todos os dias. Configura automação:
- Alertas para padrões suspeitos: vários logins falhados, descargas de dados em massa, horários de acesso invulgares
- Gerar relatórios de conformidade automaticamente: relatórios mensais ou trimestrais com as atividades de acesso a dados, eliminação e consentimento
- Automação da retenção: elimina automaticamente os registos quando o prazo de retenção termina
- Arquivar registos antigos: move os registos com mais de 1 ano para armazenamento mais barato, para retenção a longo prazo
Erros comuns com registos de auditoria
Não registar detalhe suficiente. "O utilizador acedeu aos dados" não chega. Precisas do IP, da hora, de que dados e durante quanto tempo.
Registar no sítio errado. Se os registos estão no mesmo servidor da aplicação, uma intrusão pode apagar os dois.
Não rever os registos com regularidade. Os registos são inúteis se ninguém olhar para eles. Configura alertas automáticos.
Eliminar os registos depressa demais. As auditorias regulatórias podem perguntar por atividades de há anos. Guarda os registos durante mais tempo do que achas necessário.
Não encriptar os registos. Os registos contêm informação sensível. Protege-os como proteges os próprios dados.
O que verificar nos registos de auditoria
A WEMASY guarda as submissões dos teus formulários na tua conta, onde as podes rever, exportar e remover. Para auditorias regulatórias, mantém o teu próprio registo de quem tem acesso a esses dados e do que foi exportado ou eliminado, e documenta os teus procedimentos de registo.
Descobre mais sobre registos e relatórios de conformidade nas definições da tua conta ou na página de preços.