如何记录代理使用以确保合规性：模板和安全政策

如果您的公司处理客户的个人数据、接受支付或受到安全审计的要求，记录代理服务器的使用就成为一种强制性要求。缺乏正确的文档可能导致根据GDPR面临高达2000万欧元的罚款或失去PCI DSS认证。

在本指南中，我们将讨论如何正确记录代理的使用以符合监管要求，需创建哪些政策以及如何维护访问日志。您将获得现成的文档模板和实施检查表。

为什么记录代理对合规性至关重要

代理服务器常常成为企业安全文档中的“盲点”。公司详细描述了与数据库的工作流程，但却忘记记录员工或系统如何通过代理访问外部资源。

在以下几种情况下，问题变得至关重要：

• 信息安全审计： ISO 27001或SOC 2审计师要求确认所有数据访问渠道都已记录并受到控制。代理就是一种访问渠道。
• 事件调查： 在数据泄露或欺诈嫌疑情况下，您需要证明是谁、何时以及为何使用代理访问特定资源。
• GDPR检查： 如果您通过代理在其他国家处理欧盟公民的数据，您需要文档确认跨境数据传输的合法性。
• PCI DSS认证： 对于接受卡支付的公司，所有访问卡数据的点都必须记录，包括代理服务器。

实际案例：在2022年，一家欧洲金融科技公司因缺乏文档而收到了监管机构的警告，文档未说明其风险监控系统如何使用代理来检查交易。只有在紧急创建完整的文档包和过去12个月的回溯日志后，才避免了罚款。

哪些监管要求涉及代理

各种监管标准对代理服务器的使用文档提出了具体要求。以下是企业面临的主要要求：

GDPR（通用数据保护条例）

如果您使用代理处理欧盟公民的个人数据，您需要记录：

• 使用代理的目的（第5.1.b条 — 目的限制）
• 代理服务器的地理位置（第44条 — 跨境数据传输）
• 通过代理传输数据时的安全措施（第32条）
• 与代理提供商作为数据处理者的合同（第28条）
• 确保问责制的访问日志（第5.2条）

实际案例：如果您的市场部门使用住宅代理分析不同欧盟国家的竞争对手，并收集价格或产品信息（这些信息可能间接包含个人数据），您需要一份符合GDPR的代理使用政策。

PCI DSS（支付卡行业数据安全标准）

对于处理支付的公司，PCI DSS 4.0版的要求包括：

• 要求1.2.1： 记录所有允许的连接，包括代理与外部网络之间的连接
• 要求10.2： 记录所有具有管理员权限用户的活动，包括代理管理
• 要求12.3： 包括代理服务器的技术使用政策

ISO 27001（信息安全管理体系）

该标准要求在控制A.13.1.1（网络安全元素管理）的背景下进行文档记录：

• 所有代理服务器及其配置的清单
• 代理访问管理程序
• 使用监控和异常检测
• 定期审查政策（至少每年一次）

152-FZ “关于个人数据”（俄罗斯）

俄罗斯法律要求记录：

• 个人数据安全威胁模型（代理作为保护手段或潜在威胁）
• 创建或改造信息系统的技术任务（如果代理是其一部分）
• 信息系统分类和分级的文件

代理服务器使用政策模板

代理使用政策是定义规则、责任和程序的基本文件。以下是根据合规要求调整的政策结构：

1. 总则

政策目的： 确定使用代理服务器的规则，以确保在访问外部资源和处理数据时的安全性、隐私性和合规性。

适用范围： 本政策适用于所有使用代理服务器访问互联网资源或处理数据的公司员工、承包商和自动化系统。

2. 允许的代理使用目的

代理服务器仅可用于以下商业目的：

• 竞争对手监控： 收集关于价格、产品和竞争对手营销活动的公开信息，以进行市场分析（部门：市场、产品）。
• 网络服务测试： 从不同地理区域检查自己的网站资源的可用性和正确性（部门：开发、QA）。
• 广告活动验证： 检查广告在不同地区和设备上的显示情况（部门：市场）。
• DDoS防护： 在访问外部API时隐藏公司系统的IP地址（部门：IT）。
• 确保匿名性： 在进行研究或处理敏感信息时保护员工的个人数据（部门：安全、合规）。

3. 代理类型及其应用

4. 获取代理访问的程序

任何需要访问代理服务器的员工必须遵循以下程序：

1. 提交申请： 填写访问请求表，说明业务理由、代理类型和使用期限。
2. 与主管协商： 由部门直接主管批准。
3. 合规性检查： 信息安全或合规部门评估请求是否符合政策。
4. 提供凭据： IT部门为每位用户提供独特的访问凭据。
5. 培训： 员工接受有关安全使用代理的简短培训（可以是视频或文档形式）。

申请审查期限： 自提交之日起不超过3个工作日。

5. 责任和角色

• 信息安全总监（CISO）： 批准政策、监督合规、协调审计。
• IT部门： 技术实施、访问提供、监控代理基础设施。
• 合规官： 检查代理使用是否符合监管要求，维护文档。
• 部门负责人： 批准员工的请求，监督目标使用。
• 最终用户： 遵守政策，立即报告任何事件或可疑活动。

访问和监控日志：记录什么

记录代理使用的日志不仅是技术需求，也是大多数合规标准的强制要求。日志允许追踪谁、何时以及出于何种目的使用了代理，并识别异常或未经授权的访问。

访问日志的必填字段

每条日志记录应包含以下数据：

日志收集的自动化

大多数代理提供商提供API以获取使用统计数据。将这些数据集成到您的SIEM系统（安全信息和事件管理）或集中日志存储中。

推荐的日志收集和分析工具：

• ELK Stack（Elasticsearch、Logstash、Kibana）： 适合小型和中型企业的免费解决方案，允许实时可视化代理使用情况。
• Splunk： 商业平台，具有强大的事件关联和异常检测功能。
• Graylog： 开源替代Splunk，界面简单。
• Azure Monitor / AWS CloudWatch： 适用于使用相应平台的公司的云解决方案。

警报（通知）的设置

自动通知有助于识别政策违规或可疑活动：

• 异常数据量： 如果员工通过代理在会话中传输了超过1 GB的数据（可能表示下载了数据库）。
• 非工作时间访问： 在夜间或周末使用代理，未事先获得批准。
• 地理位置变化： 同一用户在短时间内使用来自5个以上不同国家的代理。
• 访问禁止资源： 尝试连接到公司黑名单中的域名。
• 多次失败尝试： 在一小时内超过10次身份验证失败（可能的凭据泄露）。

通过代理记录个人数据保护

如果您的系统通过代理处理个人数据（例如，用于用户验证、欺诈交易检查或收集分析），您需要记录这些数据的保护措施。

代理的数据处理影响评估（DPIA）

GDPR要求对可能对个人权利和自由构成高风险的处理操作进行数据保护影响评估（DPIA）。如果使用代理可能符合此要求：

• 您处理敏感个人数据（健康、财务、生物识别）
• 您在数据保护水平不足的国家使用代理（非欧盟）
• 您大规模处理数据（超过10,000个数据主体）

使用代理的DPIA结构：

1. 处理描述： 通过代理传输哪些数据，目的是什么，涉及哪些类别的数据主体。
2. 必要性和比例性： 说明为什么使用代理是必要的，并且没有风险较小的替代方案。
3. 对数据主体的风险： 可能出现什么问题（数据泄露、未经授权的访问、失去对数据的控制）。
4. 风险降低措施： 加密、限制访问、与代理提供商的合同、定期审计。
5. 与DPO咨询： 如果您有数据保护官，他的意见应记录在案。

与代理提供商作为数据处理者的合同

如果代理提供商有技术能力访问通过其服务器传输的个人数据，则根据GDPR术语，它在法律上成为“数据处理者”。

合同中应规定：

• 处理的主题和期限： 处理哪些数据，处理多长时间。
• 处理者的义务： 确保安全性、保密性，协助实现数据主体的权利。
• 子处理者： 提供商是否可以聘请第三方，是否需要您的同意。
• 跨境传输： 代理服务器位于哪些国家，使用哪些保护机制（标准合同条款、适用性决定）。
• 事件通知： 提供商有义务立即报告任何数据安全违规。
• 审计和检查： 您有权检查提供商是否遵守合同条款。

通过代理传输数据的加密

记录使用了哪些加密方法：

• HTTPS代理： 您的系统与代理服务器之间的所有流量都通过TLS 1.2或更高版本加密。
• 带SSH隧道的SOCKS5： 为特别敏感的数据提供额外的加密层。
• 端到端加密： 数据在发送方加密，仅在接收方解密，代理只能看到加密流量。

在文档中注明协议版本和加密算法（例如：“TLS 1.3与AES-256-GCM”）。

审计文档准备

当外部或内部审计到来时，您需要快速提供完整的文档包，以证明代理使用的合规性。以下内容应提前准备：

审计文档包

1. 代理服务器使用政策（当前版本，带有批准人的签名）
   • 政策变更历史
   • 员工知情文件（签署或电子确认）
2. 代理服务器清单
   • 所有使用的代理列表（IP地址、地理位置、类型）
   • 提供商信息（公司名称、联系信息、合同条款）
   • 每个代理的使用开始日期
3. 访问日志
   • 过去12个月的日志（或您标准要求的期限）
   • 发现的异常和采取的措施的报告
   • 按部门的使用统计
4. 与提供商的合同
   • 提供代理服务的主要合同
   • GDPR合规的数据处理协议（DPA）
   • 如果代理位于欧盟以外的地方，标准合同条款（SCC）
   • 服务水平协议（SLA），确保可用性和安全性
5. DPIA（数据保护影响评估） — 如果适用
6. 访问管理程序
   • 代理访问请求表
   • 批准和拒绝请求的示例
   • 员工离职时撤销访问的程序
7. 事件及其调查
   • 与代理相关的事件登记册（如果有）
   • 调查报告
   • 纠正措施
8. 培训和意识
   • 安全使用代理的培训材料
   • 员工培训完成的记录

审计师的典型问题

准备回答以下问题（附证明）：

• “您如何控制代理仅用于允许的目的？” — 展示日志和监控程序。
• “您如何确保个人数据不被代理提供商获取？” — 展示DPA、加密政策、无日志确认。
• “您多久审查一次有代理访问权限的员工名单？” — 展示季度审查程序。
• “如果代理提供商停止运营或被攻破，会发生什么？” — 展示业务连续性计划（BCP）和替代提供商列表。
• “您如何确保跨境数据传输的合规性？” — 展示SCC和代理位置国家的分析。

审计准备的自动化

创建一个“审计文件夹”（物理或电子），存放所有文档的最新版本。指定一名负责更新的人员（通常是合规官或CISO）。

使用GRC平台（治理、风险、合规）进行自动化：

• OneTrust： 政策管理，自动提醒文档审查。
• ServiceNow GRC： 与IT流程集成，自动收集合规证明。
• Vanta / Drata： 针对SOC 2、ISO 27001的合规自动化，提供持续监控。

文档和日志的保存期限

各种标准和法律规定了文档和日志的最低保存期限。不遵守这些期限可能导致罚款或在调查时无法证明合规性。

安全删除程序

在保存期限结束后，文档和日志必须安全删除，以最小化过时数据泄露的风险：

• 电子文档： 使用安全删除方法（不仅仅是“删除”，而是至少重写数据3次）。
• 纸质文档： 通过具有P-4或更高保密级别的碎纸机销毁（根据DIN 66399）。
• 备份： 不要忘记从所有备份中删除数据，而不仅仅是主存储。
• 删除文档： 记录删除过程，保持日志。