Auditor GDPR chiede: "chi ha visto i dati personali del cliente X negli ultimi 12 mesi?". Senza audit trail strutturato: ore di indagine, forse senza risposta. Con audit trail: 30 secondi, esportazione PDF. Vediamo i requisiti per essere conformi a GDPR e ISO 27001.
I requisiti GDPR
Diritto di accesso (art. 15)
L'interessato può chiedere "chi ha trattato i miei dati?". Devi rispondere entro 30 giorni con dettaglio:
- Categorie di dati trattati.
- Destinatari.
- Periodo di conservazione.
- Origine dati.
Senza audit trail: difficile rispondere puntualmente.
Tracciabilità accessi
Per dati sensibili: tracciabilità completa di chi vede, modifica, esporta.
Diritto di rettifica/cancellazione
Quando interessato chiede modifica/cancellazione: tracciabilità delle azioni.
Diritto alla portabilità
Esportazione dati personali in formato strutturato.
Notifica violazioni
In caso di breach, devi notificare al Garante entro 72 ore. Audit log permette di capire estensione del breach.
I requisiti ISO 27001
A.12.4 Logging e monitoring
Requisito esplicito di:
- Logging eventi rilevanti.
- Protezione integrità log.
- Sincronizzazione orologi.
- Logging amministratori.
A.18 Compliance
Conformità a normative applicabili (GDPR, settoriali).
A.16 Information security incident management
Gestione incidenti con tracciabilità.
Cosa deve registrare un audit trail BI
Eventi obbligatori
| Evento | Dato registrato |
|---|---|
| Login | Utente, timestamp, IP, device |
| Logout | Utente, timestamp, durata sessione |
| Login fallito | Utente, IP, tentativo |
| Visualizzazione dato sensibile | Utente, dato, timestamp |
| Modifica dato | Utente, dato vecchio/nuovo, timestamp |
| Cancellazione | Utente, dato cancellato, motivo |
| Esportazione | Utente, dati esportati, formato |
| Modifica permessi | Admin, utente target, permessi prima/dopo |
| Configurazione cambiata | Admin, parametro, valore prima/dopo |
Eventi opzionali ma utili
- Query SQL eseguite.
- Dashboard create/modificate.
- Schedulazioni create/modificate.
- Errori di sistema.
Le 4 caratteristiche di un audit trail conforme
1. Completezza
Tutto deve essere loggato. Niente "buchi" temporali o operazioni non tracciate.
2. Immutabilità
Una volta scritto, log non modificabile da nessuno. Tecnologie:
- Append-only database.
- Hashing crittografico per integrità.
- Storage WORM (Write Once Read Many).
- Backup separato.
3. Conservazione
Periodi minimi:
- GDPR generale: 5 anni.
- Dati finanziari (SOX, fiscale): 10 anni.
- Audit ISO: minimo 3 anni.
- Settoriali (banche, sanità): variabili, fino a 30+ anni.
4. Esportabilità
Format standard per:
- Audit interni.
- Audit esterni (revisori, certificatori).
- Investigazioni Garante.
- SIEM aziendali.
Implementazione in ReportIA
Modulo Logging include:
- Audit log immutabile.
- Tutti eventi obbligatori GDPR/ISO.
- Conservazione configurabile.
- Esportazione CSV/JSON/PDF.
- Accesso ristretto a admin/CISO.
- Integrazione SIEM esterni.
Casi d'uso compliance
Richiesta GDPR cliente
Cliente Mario Rossi chiede "chi ha visto i miei dati nei 12 mesi passati?":
- Filtro audit log per riferimenti al cliente.
- Esporta lista accessi.
- Risposta in 24-48 ore.
Audit ISO 27001
Auditor esterno chiede log degli ultimi 12 mesi:
- Esporta audit log periodo.
- Documentazione tecnica.
- Compliance dimostrata.
Investigazione breach
Sospetto di accesso non autorizzato:
- Filtro per utente/IP sospetto.
- Pattern di attività analizzato.
- Timeline eventi.
- Notifica Garante se confermato breach.
Sicurezza dell'audit trail stesso
Il log è il "guardiano". Va protetto:
- Accesso ristretto (solo super admin/CISO).
- Backup separato dal database principale.
- Cifratura at-rest.
- Verifica integrità periodica (hash).
- Audit log degli accessi al log (meta-audit).
I moduli ReportIA correlati
Scopri ReportIA compliance-ready.
