Retención de registros de VPN: átala al incidente, no a un número
La retención sigue al incidente, al contenido y a la política, no a un plazo universal. Encuentra cada copia, detén la recolección detallada y mantén un registro breve.
Nadie pregunta en realidad cuánto tiempo conservar un registro de VPN; preguntan para qué sirve el registro, y la respuesta a eso fija la fecha. De un solo incidente pueden salir dos archivos con vidas distintas, y tratarlos como una sola política produce a la vez retención excesiva y pérdida de pruebas. Una exportación de depuración capturada mientras la causa era desconocida no es el mismo artefacto que una línea en un almacén de monitorización. Empieza por el propósito y luego elige la fecha.
Responde cuatro preguntas antes de elegir una fecha
Cuatro preguntas deciden si un archivo se queda: si el incidente sigue abierto, qué contiene el archivo, quién necesita leerlo y qué exige la política aplicable. Respóndelas en ese orden y la fecha de retención se desprende sola. El razonamiento cabe en una tabla:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Mientras el incidente esté abierto, conserva un original protegido para poder comparar eventos o responder a una pregunta de soporte más adelante, y dale un propietario y un propósito por escrito. Para cualquiera fuera del equipo de respuesta suele bastar un extracto breve y redactado, y es mucho más fácil de defender que la exportación completa. El original y el extracto son artefactos separados con públicos separados, y fusionarlos es lo que crea a la vez retención excesiva y pérdida de pruebas. La política fija un mínimo, así que si exige más tiempo que tu razonamiento, gana la política.
Cierra el incidente con un registro, no con una exportación
Escribe en el tique un registro de cuatro líneas: el síntoma, el cliente y la versión, la única línea de error que lo identificó y la corrección. No adjuntes nada más, porque la exportación era para ti y el registro es para la siguiente persona.
El registro también tiene más probabilidades de ser leído: la exportación completa sirve sobre todo a quien la capturó, y esa persona ya sabe qué pasó. Guarda el registro donde se buscará el próximo incidente, lo que normalmente significa el tique y no una carpeta con el nombre de una fecha. Un número de caso puede llevar la referencia si el registro tiene que ser rastreable sin exponer un identificador de conexión. Si aún queda una pregunta abierta, el original se queda bajo la regla de copia protegida de arriba; una vez que existe el registro, todo lo demás puede irse.
Encuentra cada copia antes de borrar una
Mira en la carpeta de exportación, luego en el diario de la ventana del incidente, luego en los adjuntos del tique, luego en el catálogo de copias de seguridad, luego en el almacén de monitorización. Si el mismo identificador de conexión aparece en un quinto lugar, el inventario estaba mal. El diario es la sorpresa habitual, porque siguió recopilando mientras leías la exportación.
Usa la ruta de rotación y borrado admitida en lugar de desvincular archivos a mano. Un archivo que sigue abierto conserva su almacenamiento después de que desaparezca la entrada del directorio, así que el borrado parece completo y no libera nada. Eso es un fallo de almacenamiento con etiqueta de privacidad, y no satisface ninguno de los dos objetivos.
Detén la recolección antes de verificar el borrado
Detén la recolección detallada temporal desde la aplicación que la posee, no editando su archivo de salida. Un ajuste de depuración olvidado sigue escribiendo registros nuevos después de eliminar los antiguos, lo que deshace en silencio el trabajo que acabas de hacer. Comprueba el nivel de registro efectivo y no el valor que recuerdas haber puesto. Después confirma que lo que queda está protegido y que solo las personas previstas pueden recuperarlo.
El principio es la minimización de datos: conserva lo que un propósito declarado necesita, durante el tiempo que lo necesite, y nada más, tal como lo formulan las directrices de privacidad RFC 6973. Un archivo guardado sin propósito es una responsabilidad con marca de tiempo. La decisión está terminada cuando puedes nombrar el archivo, su propósito, su propietario y su fecha de fin.