Корпоративный ИИ-проект должен хранить документы и записи, по которым можно установить цель, полномочия, входные данные, версии, решения, действия и результат без копирования каждого чувствительного запроса. Проверяющему важно понять, почему систему разрешили использовать, какие данные и инструменты она использовала, какие меры действовали, кто согласовал изменения, какие действия были фактически выполнены и как результат проверили независимо.
Сохраните основание проекта
Зафиксируйте утверждённую цель, ответственного владельца, пользователей, затронутые стороны, запрещённые сценарии использования, оценку рисков и решение о запуске. Каждое существенное основание для решения связывайте с источником и датой. Устав проекта без зафиксированного решения не объясняет, почему организация приняла на себя соответствующий риск и какие условия при этом установила.
Для источников данных храните идентификатор, категорию, владельца, права, происхождение, ограничения, срок и условия хранения. Не копируйте полное содержимое, если достаточно ссылки и маскированного описания. Отсутствие источника или противоречие между источниками должно оставаться видимым, а не исчезать после выбора удобной версии.
Архитектурная схема объединяет доказательства. Материал про опорную архитектуру корпоративного портала показывает пользу чётко описанных компонентов и границ. Для ИИ такая схема включает модель, сервис поиска, правила, инструменты, учётные записи, очередь, журнал и внешнего поставщика.
Храните сведения о работе системы и мер контроля
Сохраняйте план оценки, типовые и граничные сценарии, критерии приёмки, результаты, известные сбои, решения проверяющих и изменения после испытаний. Разделяйте проверку на этапе разработки и мониторинг системы в эксплуатации. Нужны не только успешные примеры, но и существенные ошибки с ручным вмешательством.
Права доступа и порядок работы с данными документируйте отдельно. Чеклист защиты данных компании помогает проверить активы, доступ, обновления и копии. Для проекта отдельно сохраняются служебные учётные записи, перечень разрешённых операций, согласования, сведения об отзыве прав и результаты испытания восстановления.
Для важного действия свяжите пользователя, источники, результат проверки правил, версию модели, вызов инструмента, согласование, изменённый объект и подтверждение выполнения. Отказы и отменённые операции тоже являются доказательством. Журнала, содержащего только успешные ответы, для расследования недостаточно.
Защитите доказательства и определите сроки хранения
Ограничьте чтение, изменение, выгрузку и удаление доказательств. Используйте единые идентификаторы и контролируйте полноту событий. Исходные конфиденциальные данные не должны попадать в общий журнал, если расследованию хватает ссылки или маскированного описания.
Качество журналов нужно регулярно проверять. Статья о том, готов ли центр мониторинга к скорости атак, показывает, почему событию нужны контекст и понятный порядок дальнейших действий. Сигнал ИИ должен вести к владельцу, версии, действию и первичному подтверждению выполнения.
Срок хранения зависит от цели, договора, применимых норм, расследований и категории данных. Определите сроки хранения, основания для их продления, подтверждение удаления и владельца каждого исключения. Универсального срока для всех проектов нет, а обязательные сроки следует определять после профильной юридической проверки.
Пересматривайте карту после появления новой модели, набора данных, инструмента, поставщика, сценария, инцидента или изменения прав доступа. При закрытии проекта отзовите доступ, остановите сбор, сохраните обязательные материалы, удалите данные, для которых больше нет законной или деловой цели, и зафиксируйте решение о завершении.
Проверяйте возможность восстановить ход события до того, как архив понадобится при инциденте. Выберите завершённое важное действие и попросите независимого проверяющего восстановить его по архивным данным. Он должен найти утверждённую цель, владельца, набор источников, версии компонентов, результат проверки правил, согласование, выполненное изменение и итоговую проверку. Разобраться в записи должно быть можно без личных пояснений исходного разработчика. Все пропуски исправляйте в системе, которая создаёт событие, а не ежемесячной ручной вставкой.
Такое испытание показывает и избыточный сбор. Если журнал раскрывает полные документы, секреты или персональные данные, которые не нужны для восстановления хода решения, замените их защищённой ссылкой, контрольной суммой или кратким описанием. Отдельно испытайте удаление: запись с истёкшим сроком должна исчезнуть из основного хранилища, копий и поисковых индексов согласно принятому правилу, а факт операции остаётся проверяемым. Карта доказательств должна показывать не только место хранения, но и владельца доступа, механизм целостности, резервирование, исключения и подтверждение корректного завершения хранения.
Назначьте владельца формата событий, чтобы одинаковые поля имели единое значение во всех системах. Он управляет версиями формата, обязательными атрибутами и правилами маскирования. При изменении схемы старые записи должны оставаться читаемыми, а системы-получатели получают время на переход. Контроль полноты сравнивает ожидаемые этапы процесса с полученными событиями и формирует оповещение, если исчезло согласование, исполнение или проверка. Так отсутствие доказательства становится контролируемым отклонением, а не неожиданностью во время расследования.
Частые вопросы
Храните цель, сведения о владельцах и происхождении данных, версии, права, результаты испытаний, согласования, подтверждения выполнения, инциденты, изменения, сроки хранения и документы о закрытии.
Не обязательно. Храните минимально достаточный набор сведений для восстановления хода событий, используя ссылки и маскированные описания вместо лишних конфиденциальных данных.
Единый идентификатор связывает пользователя, источник, применённые правила, модель, инструмент, согласование, объект, результат, сбой и попытку обойти контроль.
Срок зависит от цели, договора, применимых норм, потребностей расследования и категории данных. Обязательные требования следует подтвердить с профильным юристом.
Чтобы найти пробелы в происхождении данных, мерах контроля и подтверждениях выполнения, закажите аудит кибербезопасности до внешней проверки или инцидента.
