küsimustik küsib, kui kaua me oma süsteemilogisid ja logifaile säilitame

NIS2 ega ISO 27001 ei määra fikseeritud säilitusaega

Regulatsioonides ei ole ühtki arvu. NIS2-direktiivi artikli 21 lõige 2 ei nimetab logimine eraldi punktina, kuid logifailid kuuluvad praktiliselt kahe kümnest meetmest alla: punkt (b), turvaintsidentide käsitlemine, ja punkt (d), turvalisus süsteemide hankimisel, arendusel ja hooldamisel. Mõlemad nõuavad, et organisatsioon saaks intsidente rekonstrueerida, ja see on võimalik ainult logidega, mida säilitatakse piisavalt kaua, et nähta kallale pääsu. Kui kaua seda on, jätab direktiiv organisatsiooni enda otsustada.

Mida klient tegelikult teada soovib, pole arv, vaid see, kas selle taga on teadlik otsus. Vastus nagu "90 päeva rakenduste logidele, 12 kuud juurdepääsulogidele" on tugevam kui "me säilitame logisid" ilma tähtajata, sest see näitab, et tähtaeg on kohandatud sellega, mis on vajalik intsidendi uurimiseks. Kui see poliitika pole veel kehtestatud, on see sageli osa samast protseduurist nagu turvaintsidentide käsitlemine: kes kasutab logisid intsidendi rekonstrueerimiseks, peab registreerima ka selle, kui kaua neid logisid säilitatakse, et seda teha.

Põhjendus: artikli 21 lõige 2 ja lisa A

Seos direktiivi 2022/2555 artikli 21 lõike 2 punktidega (b) ja (d) on kaudne: direktiiv nõuab intsidentide käsitlemist ja turvalisi süsteeme, ja logimine on nende jaoks eeltingimus, mitte eksplitsiitne nõue. ISO/IEC 27001 lisa A on konkreetsem logorimise ja jälgimise meetme puhul, kuid ka seal pole fikseeritud tähtaega; standard nõuab, et organisatsioon määraks tähtaja ise ja seda põhjendaks. Ettevõtted, kes juba perioodiliselt kontrollida, kas nende meetmed töötavad on logide säilitustähtaja tavaliselt juba sellise kontrolli kindla osana kaasanud ja saavad selle tähtaja otse vastusesse võtta.