الاحتفاظ بسجلات VPN: اربطه بالحادثة، لا برقم
يتبع الاحتفاظ الحادثة والمحتوى والسياسة، لا موعدًا نهائيًا عالميًا. اعثر على كل نسخة، وأوقف الجمع المطوّل، واحتفظ بسجل قصير.
لا أحد يسأل فعليًا عن المدة التي يجب أن يُحتفظ فيها بسجل VPN؛ بل يسألون عمّا يصلح له السجل، والجواب عن ذلك هو ما يحدّد التاريخ. يمكن أن يخرج ملفّان من حادثة واحدة بعُمرين مختلفين، ومعاملتهما كسياسة واحدة تُنتج في الوقت نفسه احتفاظًا مفرطًا وفقدانًا للأدلة. تصدير تشخيصي جُمع بينما كان السبب مجهولًا ليس الأثر نفسه الذي يمثّله سطر في مخزن مراقبة. ابدأ من الغرض، ثم اختر التاريخ.
أجب عن أربعة أسئلة قبل أن تختار تاريخًا
أربعة أسئلة تحدّد ما إذا كان الملف يبقى: هل الحادثة ما زالت مفتوحة، وما الذي يحتويه الملف، ومن يحتاج إلى قراءته، وما الذي تشترطه السياسة المنطبقة. أجب عنها بهذا الترتيب، فيتحدّد تاريخ الاحتفاظ تلقائيًا. يتّسع المنطق لجدول:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
ما دامت الحادثة مفتوحة، احتفظ بأصل واحد محمي حتى تتمكّن لاحقًا من مقارنة الأحداث أو الإجابة عن سؤال دعم، وأسنِد إليه مالكًا وغرضًا مكتوبًا. لأي شخص خارج فريق الاستجابة يكفي عادةً مقتطف قصير منقّح، والدفاع عنه أسهل بكثير من الدفاع عن التصدير الكامل. الأصل والمقتطف أثران منفصلان بجمهورين منفصلين، ودمجهما هو ما يُنتج احتفاظًا مفرطًا وفقدانًا للأدلة معًا. والسياسة تضع حدًّا أدنى، فإن طلبت مدة أطول من منطقك، فالحكم للسياسة.
أغلق الحادثة بسجل، لا بتصدير
اكتب في التذكرة سجلًا من أربعة أسطر: العَرَض، والعميل وإصداره، وسطر الخطأ الواحد الذي كشفه، والإصلاح. لا تُرفق شيئًا آخر، لأن التصدير كان لك والسجل لمن يأتي بعدك.
السجل أيضًا أقرب إلى أن يُقرأ: فالتصدير الكامل يخدم في الغالب من جمعه، وذلك الشخص يعرف سلفًا ما حدث. احفظ السجل حيث سيُبحث عند الحادثة التالية، وهذا يعني عادةً التذكرة لا مجلدًا مسمى بتاريخ. يمكن لرقم قضية أن يحمل المرجع إذا لزم أن يكون السجل قابلًا للتتبّع دون كشف معرّف اتصال. وإن بقي سؤال مفتوحًا، يظل الأصل تحت قاعدة النسخة المحمية أعلاه؛ وبمجرد أن يوجد السجل، يمكن أن يذهب كل ما عداه.
اعثر على كل نسخة قبل أن تحذف واحدة
ابحث في مجلد التصدير، ثم في سجل الحادثة الزمني، ثم مرفقات التذكرة، ثم كتالوج النسخ الاحتياطي، ثم مخزن المراقبة. إن ظهر معرّف الاتصال نفسه في مكان خامس، فالجرد كان خاطئًا. والسجل الزمني هو المفاجأة المعتادة، لأنه ظلّ يجمع بينما كنت تقرأ التصدير.
استخدم مسار التدوير والحذف المدعوم بدلًا من فصل الملفات يدويًا. فالملف الذي ما زال مفتوحًا يحتفظ بحيّزه بعد زوال مدخل الدليل، فيبدو الحذف كاملًا ولا يحرّر شيئًا. هذا خلل تخزيني يرتدي وسم خصوصية، ولا يحقّق أيًا من الهدفين.
أوقف الجمع قبل أن تتحقّق من الحذف
أوقف الجمع المطوّل المؤقت عبر التطبيق الذي يملكه، لا بتحرير ملف خرجه. فإعداد تشخيصي منسيّ يظل يكتب سجلات جديدة بعد إزالة القديمة، فيلغي بهدوء العمل الذي أنجزته للتو. افحص مستوى التسجيل الفعلي لا القيمة التي تتذكّر أنك ضبطتها. ثم تأكّد من أن ما تبقّى محمي وأن الأشخاص المقصودين وحدهم يمكنهم استرجاعه.
المبدأ هو تقليل البيانات: احتفظ بما يحتاجه غرض معلن، وللمدة التي يحتاجها، ولا شيء أكثر، على النحو الذي تصوغه إرشادات الخصوصية RFC 6973. فالملف المحتفظ به بلا غرض عبء له طابع زمني. وينتهي القرار حين تستطيع تسمية الملف وغرضه ومالكه وتاريخ انتهائه.