Conservation des journaux VPN : liez-la à l’incident, pas à un nombre
La conservation suit l’incident, le contenu et la politique, pas un délai universel. Trouvez chaque copie, arrêtez la collecte détaillée et tenez un court compte rendu.
Personne ne demande vraiment combien de temps conserver un journal VPN ; on demande à quoi sert le journal, et la réponse à cela fixe la date. Deux fichiers peuvent sortir d’un même incident avec des durées de vie différentes, et les traiter comme une seule politique produit à la fois une conservation excessive et une perte de preuves. Une exportation de débogage capturée alors que la cause était inconnue n’est pas le même artefact qu’une ligne dans un stockage de supervision. Partez de l’objectif, puis choisissez la date.
Répondez à quatre questions avant de choisir une date
Quatre questions décident si un fichier reste : l’incident est-il encore ouvert, que contient le fichier, qui doit le lire, et qu’exige la politique applicable. Répondez dans cet ordre et la date de conservation en découle. Le raisonnement tient dans un tableau :
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Tant que l’incident est ouvert, gardez un original protégé pour pouvoir comparer des événements ou répondre plus tard à une question du support, et donnez-lui un propriétaire et un objectif par écrit. Pour toute personne extérieure à l’équipe de réponse, un court extrait expurgé suffit généralement, et il est bien plus facile à défendre que l’exportation complète. L’original et l’extrait sont des artefacts distincts avec des publics distincts, et c’est leur fusion qui crée à la fois la conservation excessive et la perte de preuves. La politique fixe un plancher, donc si elle exige plus longtemps que votre raisonnement, la politique l’emporte.
Clôturez l’incident avec un compte rendu, pas avec une exportation
Écrivez dans le ticket un compte rendu de quatre lignes : le symptôme, le client et la version, la seule ligne d’erreur qui l’a identifié, et le correctif. Ne joignez rien d’autre, car l’exportation était pour vous et le compte rendu est pour la personne suivante.
Le compte rendu a aussi plus de chances d’être lu : l’exportation complète sert surtout à celui qui l’a capturée, et cette personne sait déjà ce qui s’est passé. Gardez le compte rendu là où l’on cherchera le prochain incident, ce qui veut généralement dire le ticket plutôt qu’un dossier nommé d’après une date. Un numéro de dossier peut porter la référence si le compte rendu doit être traçable sans exposer un identifiant de connexion. Si une question reste ouverte, l’original reste sous la règle de la copie protégée ci-dessus ; une fois le compte rendu existant, tout le reste peut partir.
Trouvez chaque copie avant d’en supprimer une
Regardez dans le dossier d’exportation, puis dans le journal de la fenêtre de l’incident, puis dans les pièces jointes du ticket, puis dans le catalogue de sauvegardes, puis dans le stockage de supervision. Si le même identifiant de connexion apparaît à un cinquième endroit, l’inventaire était faux. Le journal est la surprise habituelle, car il a continué à collecter pendant que vous lisiez l’exportation.
Utilisez le chemin de rotation et de suppression pris en charge au lieu de dissocier des fichiers à la main. Un fichier encore ouvert conserve son espace de stockage après la disparition de l’entrée de répertoire, si bien que la suppression paraît complète et ne libère rien. C’est un défaut de stockage portant une étiquette de confidentialité, et il ne satisfait aucun des deux objectifs.
Arrêtez la collecte avant de vérifier la suppression
Arrêtez la collecte détaillée temporaire via l’application qui la possède, pas en modifiant son fichier de sortie. Un réglage de débogage oublié continue d’écrire de nouveaux enregistrements après la suppression des anciens, ce qui annule discrètement le travail que vous venez de faire. Vérifiez le niveau de journalisation effectif plutôt que la valeur dont vous vous souvenez. Confirmez ensuite que ce qui reste est protégé et que seules les personnes prévues peuvent le récupérer.
Le principe est la minimisation des données : gardez ce qu’un objectif énoncé exige, aussi longtemps qu’il le faut, et rien de plus, comme le cadre de confidentialité RFC 6973 le formule. Un fichier conservé sans objectif est une responsabilité avec un horodatage. La décision est terminée quand vous pouvez nommer le fichier, son objectif, son propriétaire et sa date de fin.