Traccia di audit trasferimento: monitora chi ha scaricato cosa
Implementa tracce di audit per conformità e sicurezza. Monitora download, orari di accesso e genera report.
Una traccia di audit per i trasferimenti file registra ogni evento significativo nella vita di un trasferimento — upload, tentativi di password, autenticazione riuscita, byte range serviti, indirizzi IP, User-Agent e cancellazione finale — in un log append-only che sopravvive ai guasti del disco e soddisfa l'Articolo 30 del GDPR, HIPAA 164.312(b), SOC 2 CC7.2 e PCI DSS 4.0 Requisito 10. La traccia risponde alla domanda che ogni analista di incidenti riceve alle 2 di notte: chi ha scaricato il .pdf, quando, da dove, e su quale dispositivo. Senza di essa, si va a intuito.
Quali eventi appartengono al log
Sei eventi coprono la maggior parte degli scenari forensi. Primo, completamento dell'upload: IP del mittente, dimensione del file, SHA-256 del ciphertext, tipo MIME dichiarato. Secondo, creazione del link: scadenza, max download, flag password, flag 2FA. Terzo, tentativi di accesso: timestamp, /24 dell'IP, correttezza della password (boolean), famiglia User-Agent. Quarto, inizio del download: ID sessione, primo byte servito. Quinto, completamento del download: byte totali, durata, codice HTTP 2xx/4xx. Sesto, cancellazione: trigger (scadenza, max raggiunto, revoca manuale), timestamp, conferma di azzeramento. Manca uno di questi e avrai una lacuna che l'auditor noterà.
Storage append-only resistente alla manomissione
Il log deve resistere alle modifiche anche da parte degli amministratori. Un approccio: scrivi gli eventi su un bucket AWS S3 con Object Lock impostato in modalità Governance (modalità Compliance per HIPAA) e una retention di 90 giorni. Un altro: trasmetti in streaming a ClickHouse con la garanzia FINAL di MergeTree, con hash in radici Merkle giornaliere pubblicate su un bollettino pubblico. L'ancoraggio blockchain — timestampare la radice giornaliera su Bitcoin tramite OpenTimestamps — costa circa 0,30 €/giorno e fornisce prova crittografica che nessun evento è stato falsificato. Per la maggior parte dei team, S3 Object Lock più separazione IAM è sufficiente.
Formati strutturati che gli auditor possono elaborare
Le righe JSON funzionano, ma gli auditor preferiscono RFC 5424 syslog o il più recente OCSF (Open Cybersecurity Schema Framework) per l'ingestione nei SIEM. Ogni evento ottiene campi come activity_id, severity_id, time, actor.user.email_hash, src_endpoint.ip, file.hashes.sha256. Splunk, Datadog ed Elastic analizzano tutti OCSF nativamente. Per i team più piccoli, un'esportazione CSV con colonne (timestamp_utc, event_type, transfer_id, ip_hash, outcome, bytes) depositata in una cartella condivisa ogni trimestre soddisfa il requisito di evidenza senza acquistare una licenza SIEM.
Gestione degli IP sotto il GDPR
Gli indirizzi IP sono dati personali ai sensi del GDPR (confermato dalla sentenza Breyer c. Germania, 2016). Non puoi semplicemente registrare gli IP completi per sempre. Fanne l'hash con HMAC-SHA256 usando una chiave ruotata giornalmente, che interrompe la correlazione dopo 24 ore preservando la forensica dello stesso giorno. Conserva gli IP grezzi solo durante un'indagine attiva con interesse legittimo documentato ai sensi dell'Articolo 6(1)(f). Alcuni servizi conservano solo i prefissi /24, che mantengono la geolocalizzazione ma eliminano l'attribuzione individuale — un compromesso equo per un livello gratuito. Documenta la tua scelta nella privacy policy così gli interessati possono esercitare i diritti ai sensi dell'Articolo 15.
Sincronizzazione temporale e non ripudio
Una traccia di audit è credibile solo se i timestamp sono accurati. Esegui chrony o systemd-timesyncd verso NIST o time.cloudflare.com, e includi un campo clock_skew_ms in ogni evento così un analista forense conosce l'intervallo di confidenza. Per il non ripudio, firma ogni file di log con Ed25519 usando una chiave conservata in AWS KMS o un YubiHSM. La firma dimostra che il log non è stato alterato ex post facto e non avrebbe potuto essere falsificato senza compromettere l'HSM — il tipo di prova che un tribunale accetta.
Periodi di conservazione per normativa
Framework diversi richiedono finestre diverse. HIPAA richiede 6 anni dalla data di creazione o dall'ultimo utilizzo, a seconda di quale sia successivo (45 CFR 164.316(b)(2)). PCI DSS 4.0 impone 12 mesi immediatamente accessibili più altri 12 in cold storage. SOC 2 rimanda alla tua policy, ma gli auditor storcono il naso su qualsiasi periodo inferiore a un anno. L'Articolo 5(1)(e) del GDPR dice "non più a lungo del necessario" — interpretalo come corrispondente alla conservazione dei registri aziendali che il log supporta. Imposta la conservazione per tenant nel tuo schema di database ed esegui un job di purge mensile che ri-firma i segmenti rimanenti.
Generare report che gli esseri umani leggono
I log grezzi non soddisfano la richiesta di un regolatore. Costruisci un generatore di report che filtra per ID trasferimento, intervallo di date, o hash email del destinatario e produce un PDF timestampato con il logo aziendale, la tabella degli eventi e la firma Ed25519 che verifica l'autenticità. Includi una pagina di copertina con l'hash SHA-256 del report stesso così il destinatario può rilevare alterazioni. Tools come WeasyPrint o Typst rendono questo pulitamente da un template Jinja2. HexaTransfer esporta report sia in PDF che in CSV; gli auditor di solito chiedono entrambi.
Allerta sulle anomalie
La traccia è inutile se nessuno la legge. Definisci regole che attivano allerta: più di 5 errori di password in 10 minuti, download da un intervallo IP che non corrisponde al paese del mittente, accesso fuori orario lavorativo per file sanitari, o qualsiasi burst di 4xx su un singolo link. Instrada le allerte a PagerDuty per i team SOC o a un webhook Slack per gli operatori singoli. Calibra le soglie ogni trimestre; le allerte rumorose vengono ignorate, il che vanifica lo scopo. Documenta il set di regole così gli auditor vedono che hai pensato al rilevamento, non solo alla registrazione.
La cancellazione come evento registrato
L'ultima voce nella vita di un trasferimento è la sua cancellazione. Registra il trigger (timer di scadenza, conteggio massimo di download raggiunto, revoca manuale), il metodo di azzeramento (numero di passate, tipo di dispositivo) e l'SHA-256 post-cancellazione della regione del disco per dimostrare che non è rimasto nulla di riconoscibile. Questo conta per le conferme di cancellazione ai sensi dell'Articolo 17 del GDPR e per le soglie di notifica delle violazioni HIPAA. Il log della cancellazione sopravvive al file stesso — a volte per anni — ed è esattamente come dovrebbe comportarsi un sistema conforme.
Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.
Invia file di grandi dimensioni in modo sicuro con crittografia end-to-end
Trasferisci file fino a 10 GB gratuitamente con crittografia end-to-end. Nessun account necessario. I tuoi file vengono crittografati nel browser prima del caricamento — nessun altro può leggerli.
Invia un file