Aufbewahrung von VPN-Protokollen: an den Vorfall gebunden, nicht an eine Zahl
Die Aufbewahrung folgt dem Vorfall, dem Inhalt und der Richtlinie, nicht einer allgemeinen Frist. Finden Sie jede Kopie, beenden Sie die ausführliche Erfassung und führen Sie einen kurzen Eintrag.
Niemand fragt eigentlich, wie lange ein VPN-Protokoll aufbewahrt werden soll; gefragt wird, wozu das Protokoll dient, und die Antwort darauf setzt das Datum. Aus einem Vorfall können zwei Dateien mit unterschiedlicher Lebensdauer hervorgehen, und beide als eine Richtlinie zu behandeln erzeugt zugleich Überaufbewahrung und verlorene Beweise. Ein Debug-Export, der erstellt wurde, als die Ursache unbekannt war, ist nicht dasselbe Artefakt wie eine Zeile in einem Monitoring-Speicher. Beginnen Sie mit dem Zweck und wählen Sie dann das Datum.
Beantworten Sie vier Fragen, bevor Sie ein Datum wählen
Vier Fragen entscheiden, ob eine Datei bleibt: Ist der Vorfall noch offen, was enthält die Datei, wer muss sie lesen, und was verlangt die geltende Richtlinie. Beantworten Sie sie in dieser Reihenfolge, und das Aufbewahrungsdatum fällt heraus. Die Begründung passt in eine Tabelle:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Solange der Vorfall offen ist, behalten Sie ein geschütztes Original, damit Sie später Ereignisse vergleichen oder eine Supportfrage beantworten können, und geben Sie ihm schriftlich einen Verantwortlichen und einen Zweck. Für alle außerhalb des Reaktionsteams genügt meist ein kurzer geschwärzter Auszug, und er ist weit leichter zu verteidigen als der vollständige Export. Original und Auszug sind getrennte Artefakte mit getrenntem Publikum, und gerade ihr Zusammenlegen erzeugt Überaufbewahrung und verlorene Beweise. Die Richtlinie setzt eine Untergrenze, verlangt sie also länger als Ihre Begründung, gewinnt die Richtlinie.
Schließen Sie den Vorfall mit einem Eintrag ab, nicht mit einem Export
Schreiben Sie einen Eintrag mit vier Zeilen ins Ticket: das Symptom, der Client und die Version, die eine Fehlerzeile, die ihn identifiziert hat, und die Behebung. Hängen Sie nichts anderes an, denn der Export war für Sie und der Eintrag ist für die nächste Person.
Der Eintrag wird auch eher gelesen: Der vollständige Export nützt vor allem dem, der ihn erstellt hat, und diese Person weiß bereits, was passiert ist. Bewahren Sie den Eintrag dort auf, wo beim nächsten Vorfall gesucht wird, was meist das Ticket bedeutet und nicht einen nach einem Datum benannten Ordner. Eine Fallnummer kann den Verweis tragen, wenn der Eintrag nachvollziehbar sein muss, ohne einen Verbindungsbezeichner offenzulegen. Ist eine Frage noch offen, bleibt das Original unter der oben genannten Regel für geschützte Kopien; sobald der Eintrag existiert, kann alles andere gehen.
Finden Sie jede Kopie, bevor Sie eine löschen
Sehen Sie im Exportordner nach, dann im Journal für das Vorfallfenster, dann in den Ticket-Anhängen, dann im Sicherungskatalog, dann im Monitoring-Speicher. Taucht derselbe Verbindungsbezeichner an einer fünften Stelle auf, war die Bestandsaufnahme falsch. Das Journal ist die übliche Überraschung, denn es hat weitergesammelt, während Sie den Export gelesen haben.
Nutzen Sie den unterstützten Rotations- und Löschpfad, statt Dateien von Hand zu entkoppeln. Eine noch geöffnete Datei behält ihren Speicher, nachdem der Verzeichniseintrag verschwindet, sodass die Löschung vollständig aussieht und nichts freigibt. Das ist ein Speicherfehler mit Datenschutzetikett, und er erfüllt keines der beiden Ziele.
Beenden Sie die Erfassung, bevor Sie die Löschung prüfen
Beenden Sie die vorübergehende ausführliche Erfassung über die Anwendung, der sie gehört, nicht durch Bearbeiten ihrer Ausgabedatei. Eine vergessene Debug-Einstellung schreibt weiter neue Einträge, nachdem die alten entfernt wurden, und macht die gerade geleistete Arbeit stillschweigend zunichte. Prüfen Sie die tatsächliche Protokollierungsebene statt des Werts, an den Sie sich erinnern. Bestätigen Sie dann, dass das Verbleibende geschützt ist und nur die vorgesehenen Personen es abrufen können.
Das Prinzip ist Datenminimierung: Behalten Sie, was ein festgelegter Zweck braucht, so lange wie nötig, und nichts darüber hinaus, wie es die Datenschutzleitlinien RFC 6973 formulieren. Eine ohne Zweck aufbewahrte Datei ist eine Haftung mit Zeitstempel. Die Entscheidung ist abgeschlossen, wenn Sie die Datei, ihren Zweck, ihren Verantwortlichen und ihr Enddatum nennen können.