การเก็บรักษาบันทึก VPN: ผูกกับเหตุการณ์ ไม่ใช่ตัวเลข
การเก็บรักษาเป็นไปตามเหตุการณ์ เนื้อหา และนโยบาย ไม่ใช่กำหนดตายตัวสากล ค้นหาทุกสำเนา หยุดการเก็บข้อมูลแบบละเอียด และเก็บบันทึกสั้น ๆ
ไม่มีใครถามจริง ๆ ว่าควรเก็บบันทึก VPN ไว้นานเท่าใด พวกเขาถามว่าบันทึกมีไว้ทำอะไร และคำตอบนั้นเป็นตัวกำหนดวันที่ สองไฟล์สามารถออกมาจากเหตุการณ์เดียวกันโดยมีอายุการใช้งานต่างกัน และการปฏิบัติต่อทั้งสองเป็นนโยบายเดียวทำให้เกิดทั้งการเก็บรักษาเกินความจำเป็นและการสูญเสียหลักฐาน การส่งออกเพื่อดีบักที่บันทึกไว้ขณะยังไม่ทราบสาเหตุไม่ใช่สิ่งเดียวกันกับหนึ่งบรรทัดในที่เก็บบันทึกการเฝ้าระวัง เริ่มจากวัตถุประสงค์ แล้วจึงเลือกวันที่
ตอบสี่คำถามก่อนเลือกวันที่
สี่คำถามตัดสินว่าไฟล์จะอยู่หรือไม่: เหตุการณ์ยังเปิดอยู่หรือไม่ ไฟล์มีอะไรบ้าง ใครต้องอ่าน และนโยบายที่ใช้บังคับต้องการอะไร ตอบตามลำดับนั้นแล้ววันที่เก็บรักษาจะออกมาเอง เหตุผลบรรจุลงในตาราง:
| Question | How it moves the answer |
|---|---|
| Incident state | An open investigation justifies a protected original; a closed one rarely does |
| Content | Connection identifiers, internal names and addresses raise the cost of a leak |
| Audience | Who retrieves it, and whether a redacted excerpt would serve them instead |
| Policy floor | The applicable service or organizational rule, which overrides a shorter reasoning |
ตราบใดที่เหตุการณ์ยังเปิดอยู่ ให้เก็บต้นฉบับที่ได้รับการคุ้มครองไว้หนึ่งชุด เพื่อให้ภายหลังสามารถเปรียบเทียบเหตุการณ์หรือตอบคำถามฝ่ายสนับสนุนได้ และกำหนดเจ้าของและวัตถุประสงค์เป็นลายลักษณ์อักษร สำหรับผู้ที่อยู่นอกทีมตอบสนอง โดยปกติข้อความที่แก้ไขแล้วสั้น ๆ ก็เพียงพอ และปกป้องได้ง่ายกว่าการส่งออกทั้งหมดมาก ต้นฉบับและข้อความที่ตัดตอนมาเป็นสิ่งที่แยกจากกันโดยมีผู้ชมที่แตกต่างกัน และการรวมเข้าด้วยกันคือสิ่งที่สร้างทั้งการเก็บรักษาเกินความจำเป็นและการสูญเสียหลักฐาน นโยบายกำหนดขอบเขตขั้นต่ำ ดังนั้นหากนโยบายต้องการเวลานานกว่าเหตุผลของคุณ นโยบายก็ชนะ
ปิดเหตุการณ์ด้วยบันทึก ไม่ใช่การส่งออก
เขียนบันทึกสี่บรรทัดลงในตั๋ว: อาการ ไคลเอนต์และเวอร์ชัน บรรทัดข้อผิดพลาดเดียวที่ระบุได้ และวิธีแก้ไข อย่าแนบสิ่งอื่น เพราะการส่งออกมีไว้สำหรับคุณและบันทึกมีไว้สำหรับคนถัดไป
บันทึกยังมีโอกาสถูกอ่านมากกว่า: การส่งออกทั้งหมดส่วนใหญ่มีไว้สำหรับผู้ที่บันทึกมันไว้ และคนนั้นรู้แล้วว่าเกิดอะไรขึ้น เก็บบันทึกไว้ในที่ที่จะมีการค้นหาเมื่อเกิดเหตุการณ์ครั้งถัดไป ซึ่งโดยปกติหมายถึงตั๋ว ไม่ใช่โฟลเดอร์ที่ตั้งชื่อตามวันที่ หมายเลขเคสสามารถอ้างอิงได้หากบันทึกต้องตรวจสอบย้อนหลังได้โดยไม่เปิดเผยตัวระบุการเชื่อมต่อ หากยังมีคำถามเปิดอยู่ ต้นฉบับยังคงอยู่ภายใต้กฎสำเนาที่ได้รับการคุ้มครองข้างต้น เมื่อมีบันทึกแล้ว ทุกอย่างอื่นก็ไปได้
ค้นหาทุกสำเนาก่อนลบหนึ่งชุด
ดูในโฟลเดอร์ส่งออก จากนั้นดูในบันทึกเหตุการณ์ตามช่วงเวลา จากนั้นดูในไฟล์แนบของตั๋ว จากนั้นดูในแคตตาล็อกสำรองข้อมูล จากนั้นดูในที่เก็บบันทึกการเฝ้าระวัง หากพบตัวระบุการเชื่อมต่อเดียวกันในที่ที่ห้า แสดงว่าบัญชีรายการผิด บันทึกเหตุการณ์คือสิ่งที่ทำให้ประหลาดใจเสมอ เพราะมันยังคงเก็บข้อมูลต่อขณะที่คุณอ่านไฟล์ส่งออก
ใช้เส้นทางการหมุนเวียนและการลบที่ได้รับการสนับสนุนแทนการยกเลิกการเชื่อมโยงไฟล์ด้วยมือ ไฟล์ที่ยังเปิดอยู่จะยังคงใช้พื้นที่จัดเก็บไว้แม้รายการในไดเรกทอรีหายไป การลบจึงดูสมบูรณ์แต่ไม่ได้คืนพื้นที่ใด ๆ นั่นคือข้อบกพร่องด้านพื้นที่จัดเก็บที่ติดป้ายความเป็นส่วนตัว และไม่บรรลุเป้าหมายใด ๆ จากสองข้อ
หยุดการเก็บข้อมูลก่อนตรวจสอบการลบ
หยุดการเก็บข้อมูลแบบละเอียดชั่วคราวผ่านแอปพลิเคชันที่เป็นเจ้าของ ไม่ใช่โดยแก้ไขไฟล์เอาต์พุต การตั้งค่าดีบักที่ถูกลืมจะยังคงเขียนบันทึกใหม่หลังจากของเก่าถูกลบไปแล้ว ซึ่งยกเลิกงานที่คุณเพิ่งทำอย่างเงียบ ๆ ตรวจสอบระดับการบันทึกที่มีผลจริง ไม่ใช่ค่าที่คุณจำได้ว่าตั้งไว้ จากนั้นยืนยันว่าสิ่งที่เหลืออยู่ได้รับการคุ้มครองและมีเพียงผู้ที่ตั้งใจไว้เท่านั้นที่เข้าถึงได้
หลักการคือการลดข้อมูลให้เหลือน้อยที่สุด: เก็บสิ่งที่วัตถุประสงค์ที่ระบุไว้ต้องการ ตราบเท่าที่จำเป็น และไม่มากกว่านั้น ตามที่แนวปฏิบัติด้านความเป็นส่วนตัว RFC 6973 กำหนดไว้ ไฟล์ที่เก็บไว้โดยไม่มีวัตถุประสงค์คือภาระที่มีการประทับเวลา การตัดสินใจเสร็จสิ้นเมื่อคุณสามารถระบุชื่อไฟล์ วัตถุประสงค์ เจ้าของ และวันที่สิ้นสุดได้