V7.1.2 Log Content

Requirement:

Verify that the application does not log other sensitive data as defined under local privacy laws or relevant security policy. (C9)

Explanation:

Практически в каждой стране принят тот или иной закон о конфиденциальности данных, регулирующий порядок сбора информации, информирования субъектов данных, а также контроль субъекта данных над своей информацией после ее передачи. Несоблюдение применимых законов о конфиденциальности данных может привести к штрафам, судебным искам и даже запрету на использование сайта в определенных юрисдикциях. Навигация по этим законам и правилам может быть сложной задачей, но все операторы веб-приложений должны быть знакомы с законами о конфиденциальности данных, которые касаются их пользователей. Само собой, данные правила так же распространяются на логируемые данные. Хранение конфиденциальных или sensitive данных в форме, идущей в разрез с законодательными актами в области защиты информации в соответвующей юридикции может иметь неприятные последствия как с точки зрения информационной безопасности, так и с точки зрения законов.

Remediation:

Для предотвращения подобных нарушений необходимо тщательно подходить к изучению законодательных актов, действующих в юрисдикции, где распространяется приложение.

Несколько примеров законов, затрагивающих вопросы конфиденциальности и защищённости пользовательских данных:

• Калифорнийский закон о правах на конфиденциальность (CPRA)
• Законы стран, затрагивающие вопросы конфиденциальности пользовательских данных
• GDPR

Регистрация действий, специфичных для GDPR - например, когда субъект данных обращается к своим правам. Каждый запрос может быть надежно зарегистрирован, чтобы вы могли доказать властям точную последовательность событий, связанных с конкретным субъектом данных.

Регистрация согласия и сопутствующих обстоятельств - дата, время, IP-адрес и т. д. Затем вы также можете регистрировать отзыв согласия, и история согласия субъекта данных будет видна в одном месте, и вы сможете доказать регулирующим органам, когда у вас было и когда не было согласия на обработку.

Additional:

OWASP Logging

CWE-532:Insertion of Sensitive Information into Log File