Oppbevaring av VPN-logger: bind det til hendelsen, ikke til et tall
Oppbevaring følger hendelsen, innholdet og policyen, ikke en universell frist. Finn hver kopi, stopp omfattende innsamling og før en kort registrering.
Ingen spør egentlig hvor lenge en VPN-logg skal oppbevares; de spør hva loggen er til, og svaret på det setter datoen. To filer kan komme ut av én hendelse med ulik levetid, og å behandle dem som én policy gir både overoppbevaring og tapte bevis. En feilsøkingseksport tatt opp mens årsaken var ukjent er ikke samme artefakt som en linje i et overvåkingslager. Start med formålet og velg deretter datoen.
Svar på fire spørsmål før du velger en dato
Fire spørsmål avgjør om en fil blir: er hendelsen fortsatt åpen, hva inneholder filen, hvem må lese den, og hva krever den gjeldende policyen. Svar i den rekkefølgen, og oppbevaringsdatoen følger. Resonnementet passer i en tabell:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Mens hendelsen er åpen, behold én beskyttet original slik at du senere kan sammenligne hendelser eller svare på et støttespørsmål, og gi den en eier og et formål skriftlig. For alle utenfor responsteamet er et kort redigert utdrag vanligvis nok, og det er langt lettere å forsvare enn den fulle eksporten. Originalen og utdraget er separate artefakter med separate mottakere, og det er sammenslåingen av dem som skaper både overoppbevaring og tapte bevis. Policyen setter en nedre grense, så hvis den krever lengre tid enn resonnementet ditt, vinner policyen.
Avslutt hendelsen med en registrering, ikke en eksport
Skriv en registrering på fire linjer i saken: symptomet, klienten og versjonen, den ene feillinjen som identifiserte det, og rettelsen. Ikke legg ved noe annet, for eksporten var for deg og registreringen er for neste person.
Registreringen er også mer sannsynlig å bli lest: den fulle eksporten tjener mest den som tok den opp, og den personen vet allerede hva som skjedde. Oppbevar registreringen der neste hendelse vil bli søkt etter, noe som vanligvis betyr saken og ikke en mappe oppkalt etter en dato. Et saksnummer kan bære referansen hvis registreringen må være sporbar uten å avsløre en tilkoblingsidentifikator. Hvis et spørsmål fortsatt er åpent, blir originalen under regelen om beskyttet kopi ovenfor; når registreringen finnes, kan alt annet gå.
Finn hver kopi før du sletter en
Se i eksportmappen, deretter i journalen for hendelsesvinduet, deretter i vedleggene til saken, deretter i sikkerhetskopikatalogen, deretter i overvåkingslageret. Hvis samme tilkoblingsidentifikator dukker opp på et femte sted, var oversikten feil. Journalen er den vanlige overraskelsen, fordi den fortsatte å samle inn mens du leste eksporten.
Bruk den støttede rotasjons- og sletteveien i stedet for å koble fra filer manuelt. En fil som fortsatt er åpen beholder lagringsplassen etter at katalogoppføringen forsvinner, så slettingen ser fullstendig ut og frigjør ingenting. Det er en lagringsfeil med personvernetikett, og den oppfyller ingen av de to målene.
Stopp innsamlingen før du verifiserer slettingen
Stopp den midlertidige omfattende innsamlingen gjennom applikasjonen som eier den, ikke ved å redigere utdatafilen dens. En glemt feilsøkingsinnstilling fortsetter å skrive nye registreringer etter at de gamle er fjernet, noe som stille gjør arbeidet du nettopp gjorde om igjen. Kontroller det effektive loggnivået i stedet for verdien du husker at du satte. Bekreft deretter at det som er igjen er beskyttet og at bare de tiltenkte personene kan hente det.
Prinsippet er dataminimering: behold det et angitt formål trenger, så lenge det trenger det, og ikke mer, slik personvernveiledningen RFC 6973 formulerer det. En fil som oppbevares uten formål er en forpliktelse med tidsstempel. Beslutningen er ferdig når du kan navngi filen, formålet, eieren og sluttdatoen.