Чување VPN дневника: вежите га за инцидент, а не за број
Чување следи инцидент, садржај и политику, а не универзални рок. Пронађите сваку копију, зауставите детаљно прикупљање и водите кратак запис.
Нико заправо не пита колико дуго чувати VPN дневник; питају чему дневник служи, а одговор на то одређује датум. Из једног инцидента могу да изађу две датотеке различитог животног века, а њихово третирање као једне политике ствара и прекомерно чување и изгубљене доказе. Извоз за отклањање грешака снимљен док је узрок био непознат није исти артефакт као ред у складишту за надзор. Почните од циља, а затим изаберите датум.
Одговорите на четири питања пре него што изаберете датум
Четири питања одлучују да ли датотека остаје: да ли је инцидент још отворен, шта датотека садржи, ко треба да је чита и шта захтева примењива политика. Одговорите тим редом и датум чувања сам произилази. Образложење стаје у табелу:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
Док је инцидент отворен, држите један заштићен оригинал да бисте касније могли да упоредите догађаје или одговорите на питање подршке, и дајте му писмено власника и циљ. За свакога изван тима за одговор обично је довољан кратак редиговани извод и много га је лакше бранити од пуног извоза. Оригинал и извод су одвојени артефакти са одвојеном публиком, а њихово спајање ствара и прекомерно чување и изгубљене доказе. Политика поставља доњу границу, па ако захтева дуже од вашег образложења, побеђује политика.
Затворите инцидент записом, а не извозом
Упишите у тикет запис од четири реда: симптом, клијент и верзију, једини ред грешке који га је идентификовао и исправку. Не прилажите ништа друго, јер је извоз био за вас, а запис је за следећу особу.
Запис ће вероватније бити и прочитан: пун извоз углавном служи ономе ко га је снимио, а та особа већ зна шта се догодило. Држите запис тамо где ће се тражити следећи инцидент, што обично значи тикет, а не фасциклу названу по датуму. Број случаја може да носи референцу ако запис мора да буде следљив без откривања идентификатора везе. Ако је неко питање још отворено, оригинал остаје под правилом заштићене копије горе; када запис постоји, све остало може да оде.
Пронађите сваку копију пре него што избришете једну
Погледајте у фасциклу извоза, затим у дневник за временски прозор инцидента, затим у прилоге тикета, затим у каталог резервних копија, затим у складиште за надзор. Ако се исти идентификатор везе појави на петом месту, попис је био погрешан. Дневник је уобичајено изненађење, јер је наставио да прикупља док сте читали извоз.
Користите подржани пут ротације и брисања уместо ручног одвајања датотека. Датотека која је још отворена задржава свој простор након што унос у директоријуму нестане, па брисање изгледа потпуно и ништа не ослобађа. То је грешка у складиштењу са етикетом приватности и не задовољава ниједан од два циља.
Зауставите прикупљање пре него што проверите брисање
Зауставите привремено детаљно прикупљање кроз апликацију која га поседује, а не уређивањем њене излазне датотеке. Заборављено подешавање за отклањање грешака наставља да пише нове записе након што се стари уклоне, што тихо поништава посао који сте управо обавили. Проверите стварни ниво евидентирања, а не вредност коју памтите да сте поставили. Затим потврдите да је оно што остаје заштићено и да само предвиђене особе могу да га преузму.
Принцип је минимизација података: држите оно што декларисани циљ захтева, онолико дуго колико му је потребно, и ништа више, како то смернице о приватности RFC 6973 формулишу. Датотека чувана без циља је обавеза са временским печатом. Одлука је готова када можете да наведете датотеку, њен циљ, њеног власника и њен крајњи датум.