Retensi log VPN: kaitkan dengan insiden, bukan dengan angka
Retensi mengikuti insiden, isi, dan kebijakan, bukan tenggat universal. Temukan setiap salinan, hentikan pengumpulan rinci, dan simpan catatan singkat.
Tidak ada yang benar-benar bertanya berapa lama log VPN disimpan; mereka bertanya untuk apa log itu, dan jawabannya menentukan tanggal. Dua berkas dapat keluar dari satu insiden dengan masa hidup berbeda, dan memperlakukannya sebagai satu kebijakan menghasilkan retensi berlebih sekaligus kehilangan bukti. Ekspor debug yang diambil saat penyebabnya belum diketahui bukan artefak yang sama dengan satu baris di penyimpanan pemantauan. Mulailah dari tujuannya, lalu pilih tanggalnya.
Jawab empat pertanyaan sebelum memilih tanggal
Empat pertanyaan menentukan apakah sebuah berkas dipertahankan: apakah insiden masih terbuka, apa isi berkas itu, siapa yang perlu membacanya, dan apa yang diminta kebijakan yang berlaku. Jawablah dalam urutan itu dan tanggal retensi akan muncul sendiri. Alasannya muat dalam tabel:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Selama insiden masih terbuka, simpan satu salinan asli yang terlindungi agar nanti Anda dapat membandingkan peristiwa atau menjawab pertanyaan dukungan, dan berikan pemilik serta tujuan secara tertulis. Bagi siapa pun di luar tim respons, kutipan singkat yang disunting biasanya cukup, dan jauh lebih mudah dipertahankan daripada ekspor lengkap. Salinan asli dan kutipan adalah artefak terpisah dengan audiens terpisah, dan menggabungkannya justru menciptakan retensi berlebih sekaligus kehilangan bukti. Kebijakan menetapkan batas bawah, jadi jika ia menuntut waktu lebih lama daripada alasan Anda, kebijakan yang menang.
Tutup insiden dengan catatan, bukan dengan ekspor
Tulis catatan empat baris di tiket: gejalanya, klien dan versinya, satu baris galat yang mengidentifikasinya, dan perbaikannya. Jangan lampirkan apa pun lagi, karena ekspor itu untuk Anda dan catatan itu untuk orang berikutnya.
Catatan juga lebih mungkin dibaca: ekspor lengkap terutama berguna bagi yang mengambilnya, dan orang itu sudah tahu apa yang terjadi. Simpan catatan di tempat insiden berikutnya akan dicari, yang biasanya berarti tiket, bukan folder bernama tanggal. Nomor kasus dapat membawa referensi jika catatan harus dapat dilacak tanpa memaparkan pengenal koneksi. Jika masih ada pertanyaan terbuka, salinan asli tetap berada di bawah aturan salinan terlindungi di atas; begitu catatan ada, semua yang lain boleh pergi.
Temukan setiap salinan sebelum menghapus satu
Lihat di folder ekspor, lalu di jurnal untuk jendela insiden, lalu di lampiran tiket, lalu di katalog cadangan, lalu di penyimpanan pemantauan. Jika pengenal koneksi yang sama muncul di tempat kelima, inventarisnya salah. Jurnal adalah kejutan yang biasa, karena ia terus mengumpulkan saat Anda membaca ekspor.
Gunakan jalur rotasi dan penghapusan yang didukung, bukan melepaskan berkas secara manual. Berkas yang masih terbuka tetap menyimpan ruangnya setelah entri direktori hilang, sehingga penghapusan tampak selesai dan tidak membebaskan apa pun. Itu bug penyimpanan yang memakai label privasi, dan tidak memenuhi satu pun dari dua tujuan.
Hentikan pengumpulan sebelum memverifikasi penghapusan
Hentikan pengumpulan rinci sementara melalui aplikasi yang memilikinya, bukan dengan menyunting berkas keluarannya. Pengaturan debug yang terlupakan terus menulis catatan baru setelah yang lama dihapus, yang diam-diam membatalkan pekerjaan yang baru saja Anda lakukan. Periksa tingkat pencatatan yang berlaku, bukan nilai yang Anda ingat telah ditetapkan. Lalu pastikan bahwa yang tersisa terlindungi dan hanya orang yang dimaksud dapat mengambilnya.
Prinsipnya adalah minimalisasi data: simpan apa yang dibutuhkan tujuan yang dinyatakan, selama diperlukan, dan tidak lebih, sebagaimana pedoman privasi RFC 6973 merumuskannya. Berkas yang disimpan tanpa tujuan adalah beban dengan cap waktu. Keputusan selesai ketika Anda dapat menyebutkan berkasnya, tujuannya, pemiliknya, dan tanggal berakhirnya.