VPNログの保存期間：数字ではなくインシデントに結びつける

VPNログをいつまで保存するかを直接尋ねる人はおらず、何のためにログを取るのかを尋ねるもので、その答えが日付を決めます。一つのインシデントから寿命の異なる二つのファイルが出てくることがあり、それらを一つのポリシーとして扱うと、過剰な保存と証拠の損失が同時に生じます。原因が不明なうちに取得したデバッグ用エクスポートは、監視ストアの一行と同じ成果物ではありません。目的から始め、そのうえで日付を選びます。

日付を決める前に四つの問いに答える

四つの問い、つまりインシデントはまだ開いているか、ファイルには何が入っているか、誰が読む必要があるか、適用されるポリシーは何を求めているかが、ファイルを残すかどうかを決めます。この順に答えれば保存日は自然に決まります。理屈は表に収まります：

インシデントが開いている間は、保護された原本を一つ保持し、後で事象を比較したりサポートの質問に答えられるようにし、所有者と目的を文書で定めます。対応チームの外の人には短い編集済みの抜粋で通常は足り、完全なエクスポートよりはるかに弁明しやすいものです。原本と抜粋は別の利用者を持つ別の成果物であり、両者を統合することが過剰な保存と証拠の損失の両方を生みます。ポリシーは下限を定めるため、あなたの理屈より長い期間を求めるならポリシーが優先します。

インシデントはエクスポートではなく記録で閉じる

チケットに、症状、クライアントとバージョン、特定につながった一行のエラー、修正内容という四行の記録を書きます。エクスポートはあなたのためであり記録は次の人のためのものなので、それ以外は何も添付しません。

記録は読まれる可能性も高く、完全なエクスポートは取得した本人に主に役立ち、その人は何が起きたかをすでに知っています。記録は次のインシデントで探される場所、つまり通常は日付名のフォルダではなくチケットに置きます。接続識別子を明かさずに追跡できる必要があるなら、ケース番号で参照を担えます。未解決の問いが残る間は原本は上記の保護コピーの規則の下にとどまり、記録ができればそれ以外はすべて処分できます。

一つを削除する前にすべてのコピーを見つける

エクスポートフォルダ、次にインシデント期間のジャーナル、次にチケットの添付、次にバックアップカタログ、次に監視ストアを確認します。同じ接続識別子が五番目の場所で見つかったら、棚卸しが間違っていたということです。ジャーナルがいつもの驚きで、エクスポートを読んでいる間も収集を続けていました。

ファイルを手作業でリンク解除するのではなく、サポートされたローテーションと削除の経路を使います。まだ開いているファイルはディレクトリエントリが消えても記憶域を保持するため、削除は完了したように見えて何も解放しません。これはプライバシーのラベルを貼ったストレージの不具合であり、どちらの目的も満たしません。

削除を検証する前に収集を止める

一時的な詳細収集は、その出力ファイルを編集するのではなく、それを所有するアプリケーションから停止します。忘れられたデバッグ設定は古い記録を削除した後も新しい記録を書き続け、いま行った作業を静かに無効にします。覚えている設定値ではなく、実際のログレベルを確認します。そのうえで、残ったものが保護され、意図した人だけが取得できることを確認します。

原則はデータ最小化です：宣言された目的が必要とするものを、必要な期間だけ保持し、それ以上は持たないこと、これはRFC 6973 プライバシーガイダンスが示すとおりです。目的のないまま保持されたファイルは、時刻印付きの負債です。判断が終わるのは、ファイル、その目的、所有者、終了日を言えるときです。