Bewaring van VPN-logs: koppel het aan het incident, niet aan een getal
Bewaring volgt het incident, de inhoud en het beleid, niet een universele termijn. Vind elke kopie, stop de uitgebreide verzameling en houd een korte registratie bij.
Niemand vraagt echt hoe lang je een VPN-log bewaart; men vraagt waarvoor de log dient, en het antwoord daarop bepaalt de datum. Uit één incident kunnen twee bestanden met verschillende levensduur komen, en ze als één beleid behandelen levert zowel overbewaring als verloren bewijs op. Een debugexport die is vastgelegd terwijl de oorzaak onbekend was, is niet hetzelfde artefact als een regel in een monitoringsopslag. Begin bij het doel en kies dan de datum.
Beantwoord vier vragen voordat je een datum kiest
Vier vragen bepalen of een bestand blijft: is het incident nog open, wat bevat het bestand, wie moet het lezen, en wat vereist het toepasselijke beleid. Beantwoord ze in die volgorde en de bewaartermijn volgt vanzelf. De redenering past in een tabel:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Zolang het incident open is, houd één beschermd origineel zodat je later gebeurtenissen kunt vergelijken of een supportvraag kunt beantwoorden, en geef het schriftelijk een eigenaar en een doel. Voor iedereen buiten het responsteam volstaat meestal een kort geredigeerd uittreksel, en dat is veel makkelijker te verdedigen dan de volledige export. Het origineel en het uittreksel zijn aparte artefacten met een apart publiek, en juist het samenvoegen ervan veroorzaakt zowel overbewaring als verloren bewijs. Het beleid stelt een ondergrens, dus als het langer eist dan je redenering, wint het beleid.
Sluit het incident af met een registratie, niet met een export
Schrijf een registratie van vier regels in de ticket: het symptoom, de client en versie, de enige foutregel die het identificeerde, en de oplossing. Voeg niets anders toe, want de export was voor jou en de registratie is voor de volgende persoon.
De registratie wordt ook eerder gelezen: de volledige export dient vooral degene die hem heeft vastgelegd, en die persoon weet al wat er is gebeurd. Bewaar de registratie waar het volgende incident wordt gezocht, wat meestal de ticket betekent en niet een map die naar een datum is vernoemd. Een zaaknummer kan de verwijzing dragen als de registratie traceerbaar moet zijn zonder een verbindingsidentificatie prijs te geven. Als een vraag nog open is, blijft het origineel onder de regel voor beschermde kopie hierboven; zodra de registratie bestaat, kan al het andere weg.
Vind elke kopie voordat je er één verwijdert
Kijk in de exportmap, dan in het journaal voor het incidentvenster, dan in de bijlagen van de ticket, dan in de back-upcatalogus, dan in de monitoringsopslag. Als dezelfde verbindingsidentificatie op een vijfde plek opduikt, klopte de inventaris niet. Het journaal is de gebruikelijke verrassing, want het bleef verzamelen terwijl je de export las.
Gebruik het ondersteunde rotatie- en verwijderpad in plaats van bestanden handmatig los te koppelen. Een bestand dat nog open is, behoudt zijn opslag nadat de mapvermelding verdwijnt, dus de verwijdering lijkt compleet en maakt niets vrij. Dat is een opslagfout met een privacylabel, en het voldoet aan geen van beide doelen.
Stop de verzameling voordat je de verwijdering verifieert
Stop de tijdelijke uitgebreide verzameling via de toepassing die er eigenaar van is, niet door het uitvoerbestand ervan te bewerken. Een vergeten debuginstelling blijft nieuwe registraties schrijven nadat de oude zijn verwijderd, wat het werk dat je net deed stilletjes ongedaan maakt. Controleer het effectieve logniveau in plaats van de waarde die je denkt te hebben ingesteld. Bevestig daarna dat wat overblijft beschermd is en dat alleen de bedoelde mensen het kunnen ophalen.
Het principe is dataminimalisatie: houd wat een vastgesteld doel nodig heeft, zo lang als nodig, en niets meer, zoals de privacyrichtlijnen RFC 6973 dat formuleren. Een bestand dat zonder doel wordt bewaard, is een verplichting met een tijdstempel. De beslissing is klaar wanneer je het bestand, het doel, de eigenaar en de einddatum kunt benoemen.