VPN-naplók megőrzése: az esethez kösse, ne egy számhoz
A megőrzés az esetet, a tartalmat és a szabályzatot követi, nem egy általános határidőt. Találjon meg minden másolatot, állítsa le a részletes gyűjtést, és vezessen rövid feljegyzést.
Valójában senki nem azt kérdezi, meddig kell megőrizni egy VPN-naplót; azt kérdezik, mire való a napló, és erre a válasz határozza meg a dátumot. Egyetlen esetből két, eltérő élettartamú fájl is kijöhet, és ha ezeket egyetlen szabályzatként kezeljük, az egyszerre eredményez túlzott megőrzést és elveszett bizonyítékot. Az a hibakeresési export, amelyet még ismeretlen ok mellett készítettek, nem ugyanaz az artefaktum, mint egy sor a megfigyelési tárban. Kezdje a céllal, aztán válassza ki a dátumot.
Válaszoljon négy kérdésre, mielőtt dátumot választ
Négy kérdés dönti el, hogy marad-e egy fájl: nyitott-e még az eset, mit tartalmaz a fájl, kinek kell olvasnia, és mit ír elő az alkalmazandó szabályzat. Ebben a sorrendben válaszoljon, és a megőrzési dátum magától kijön. Az indoklás belefér egy táblázatba:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Amíg az eset nyitott, tartson meg egy védett eredetit, hogy később összevethessen eseményeket, vagy válaszolhasson egy támogatási kérdésre, és adjon neki írásban tulajdonost és célt. A reagáló csapaton kívülieknek általában elég egy rövid, szerkesztett kivonat, és sokkal könnyebb megvédeni, mint a teljes exportot. Az eredeti és a kivonat külön artefaktumok külön közönséggel, és éppen az egyesítésük teremt egyszerre túlzott megőrzést és elveszett bizonyítékot. A szabályzat alsó határt szab, tehát ha hosszabb időt követel, mint az indoklása, a szabályzat győz.
Zárja le az esetet feljegyzéssel, ne exporttal
Írjon a jegybe egy négy soros feljegyzést: a tünet, az ügyfél és a verzió, az az egyetlen hiba sor, amely azonosította, és a javítás. Ne csatoljon semmi mást, mert az export önnek szólt, a feljegyzés pedig a következő embernek.
A feljegyzést nagyobb eséllyel olvassák is: a teljes export leginkább annak használ, aki rögzítette, és ő már tudja, mi történt. Tartsa a feljegyzést ott, ahol a következő esetnél keresni fognak, ami általában a jegyet jelenti, nem pedig egy dátumról elnevezett mappát. Egy ügyszám hordozhatja a hivatkozást, ha a feljegyzésnek nyomon követhetőnek kell lennie anélkül, hogy felfedné a kapcsolatazonosítót. Ha valamelyik kérdés még nyitott, az eredeti a fenti védett másolat szabálya alatt marad; amint a feljegyzés létezik, minden más mehet.
Találjon meg minden másolatot, mielőtt egyet töröl
Nézze meg az export mappát, aztán az eseményablak naplóját, aztán a jegy mellékleteit, aztán a biztonsági mentések katalógusát, aztán a megfigyelési tárat. Ha ugyanaz a kapcsolatazonosító egy ötödik helyen is felbukkan, a leltár hibás volt. A napló a szokásos meglepetés, mert tovább gyűjtött, miközben az exportot olvasta.
Használja a támogatott rotációs és törlési útvonalat, nehogy kézzel leválassza a fájlokat. A még nyitott fájl megtartja a tárolóhelyét, miután a könyvtárbejegyzés eltűnik, ezért a törlés teljesnek látszik, és semmit nem szabadít fel. Ez egy adatvédelmi címkét viselő tárolási hiba, és egyik célt sem teljesíti.
A törlés ellenőrzése előtt állítsa le a gyűjtést
Az ideiglenes részletes gyűjtést az azt birtokló alkalmazáson keresztül állítsa le, ne a kimeneti fájljának szerkesztésével. Egy elfelejtett hibakeresési beállítás a régi bejegyzések eltávolítása után is új rekordokat ír, ami csendben semmissé teszi az imént végzett munkát. A tényleges naplózási szintet ellenőrizze, ne az általa emlékezett értéket. Ezután erősítse meg, hogy ami maradt, védett, és csak a szándékolt személyek érhetik el.
Az elv az adatminimalizálás: tartsa meg azt, amire egy megadott célnak szüksége van, addig, ameddig kell, és semmi többet, ahogyan az RFC 6973 adatvédelmi iránymutatás megfogalmazza. A cél nélkül megtartott fájl időbélyeggel ellátott felelősség. A döntés akkor van kész, amikor meg tudja nevezni a fájlt, annak célját, tulajdonosát és záró dátumát.