dotazník se ptá, jak dlouho uchováváme naše systémové logy a logové soubory

Žádná pevná lhůta pro uchovávání v NIS2 ani ISO 27001

V právních předpisech není žádné číslo. Článek 21 odst. 2 směrnice NIS2 se nezmiňuje o logování jako o samostatném bodu, ale logy v praxi spadají pod dvě z deseti opatření: písmenku (b), řešení bezpečnostních incidentů, a písmenku (d), bezpečnost při nákupu, vývoji a údržbě systémů. Obě vyžadují, aby organizace mohla incidenty rekonstruovat, a to je možné pouze s logy, které jsou uchovávány dostatečně dlouho, aby bylo možné vidět útok zpět. Jak dlouho, ponechává směrnice na samotné organizaci.

To, co se zákazník vlastně chce dozvědět, není číslo, ale to, zda za tím stojí vědomá volba. Odpověď jako "90 dní pro logy aplikací, 12 měsíců pro logy přístupu" je lepší než "uchovávame logy" bez periody, protože ukazuje, že lhůta je přizpůsobena tomu, co je potřeba pro šetření incidentu. Pokud tato politika ještě nebyla stanovena, bývá často součástí stejného postupu jako přístup k bezpečnostním incidentům: kdo používá logy k rekonstrukci incidentu, musí také zaznamenat, jak dlouho se tyto logy uchovávají, aby to bylo možné.

Zdůvodnění: článek 21 odst. 2 a Příloha A

Propojení s článkem 21 odst. 2, písmenky (b) a (d), směrnice (EU) 2022/2555 je nepřímé: směrnice vyžaduje řešení incidentů a bezpečný vývoj systémů, a uchovávání logů je na to předpokladem, nikoli explicitním požadavkem. ISO/IEC 27001 Příloha A je v opatření týkajícím se logování a monitorování konkrétnější, ale ani tam není žádná pevná lhůta; norma vyžaduje, aby si organizace sama určila a odůvodnila dobu trvání. Podniky, které již pravidelně ověřují, zda jejich opatření stále fungují mají lhůtu uchovávání logů obvykle již jako pevnou součást tohoto ověřování, a mohou tuto dobu přímo převzít do odpovědi.