η λίστα ερωτήσεων ρωτά πόσο καιρό φυλάσσουμε τα αρχεία καταγραφής συστήματος και καταγραφής

Κανένα σταθερό χρονικό όριο διατήρησης στη NIS2 ή ISO 27001

Δεν υπάρχει αριθμός στη νομοθεσία. Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 δεν αναφέρει την καταγραφή ως ξεχωριστό σημείο, αλλά τα αρχεία καταγραφής στην πράξη εμπίπτουν σε δύο από τα δέκα μέτρα: το στοιχείο (β), η αντιμετώπιση περιστατικών ασφάλειας, και το στοιχείο (δ), η ασφάλεια κατά την απόκτηση, ανάπτυξη και συντήρηση συστημάτων. Και τα δύο απαιτούν από έναν οργανισμό να μπορεί να ανακατασκευάσει περιστατικά, και αυτό μπορεί να γίνει μόνο με αρχεία καταγραφής που διατηρούνται αρκετά διάστημα για να δούμε μια επίθεση. Πόσο καιρό είναι αυτό, η Οδηγία το αφήνει στον ίδιο τον οργανισμό.

Αυτό που ο πελάτης επομένως θέλει να γνωρίζει, δεν είναι ένας αριθμός αλλά εάν υπάρχει ένας συνειδητός λόγος πίσω από αυτό. Μια απάντηση όπως "90 ημέρες για αρχεία καταγραφής εφαρμογών, 12 μήνες για αρχεία καταγραφής πρόσβασης" είναι ισχυρότερη από "διατηρούμε αρχεία καταγραφής" χωρίς περίοδο, γιατί δείχνει ότι η περίοδος προσαρμόστηκε σε αυτό που είναι απαραίτητο για την έρευνα ενός περιστατικού. Εάν αυτή η πολιτική δεν έχει ακόμη καθορισθεί, αυτό είναι συχνά μέρος της ίδιας διαδικασίας με την αντιμετώπιση περιστατικών ασφάλειας: εκείνος που χρησιμοποιεί αρχεία καταγραφής για να ανακατασκευάσει ένα περιστατικό, πρέπει επίσης να καταγράψει πόσο καιρό διατηρούνται τα αρχεία καταγραφής για να μπορεί να το κάνει.

Τεκμηρίωση: άρθρο 21 παράγραφος 2 και Παράρτημα A

Η σύνδεση με το άρθρο 21 παράγραφος 2, στοιχεία (β) και (δ), της Οδηγίας (ΕΕ) 2022/2555 είναι έμμεση: η Οδηγία επιβάλλει αντιμετώπιση περιστατικών και ασφαλή ανάπτυξη συστημάτων, και η διατήρηση αρχείων καταγραφής είναι προϋπόθεση για αυτό, όχι ρητή απαίτηση. Το ISO/IEC 27001 Παράρτημα A είναι πιο συγκεκριμένο με το μέτρο σχετικά με την καταγραφή και την παρακολούθηση, αλλά ούτε και εκεί υπάρχει σταθερή περίοδος· η νόρμα ζητά ότι ο οργανισμός ο ίδιος να προσδιορίσει και να δικαιολογήσει μια περίοδο. Τα επιχειρήματα που έχουν ήδη περιοδικά ελέγχουν εάν τα μέτρα τους εξακολουθούν να λειτουργούν έχουν συνήθως ήδη συμπεριλάβει την περίοδο διατήρησης των αρχείων καταγραφής ως σταθερό μέρος αυτού του ελέγχου, και μπορούν να χρησιμοποιήσουν απευθείας αυτή την περίοδο στην απάντηση.