il questionario chiede quanto tempo conserviamo i log di sistema e i file di registro

Nessun termine di conservazione fisso nella NIS2 o ISO 27001

Non c'è alcun numero nella normativa. L'articolo 21 paragrafo 2 della direttiva NIS2 non menziona la registrazione come punto separato, ma i file di log rientrano nella pratica in due delle dieci misure: la lettera (b), il trattamento degli incidenti di sicurezza, e la lettera (d), la sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi. Entrambe richiedono che un'organizzazione possa ricostruire gli incidenti, e ciò è possibile solo con log conservati abbastanza a lungo da consentire di risalire a un attacco. La direttiva lascia all'organizzazione stessa la decisione su quanto tempo conservarli.

Ciò che il cliente vuole effettivamente sapere non è un numero ma se c'è una scelta consapevole dietro. Una risposta come "90 giorni per i log delle applicazioni, 12 mesi per i log di accesso" è più forte di "conserviamo i log" senza periodo, perché mostra che il termine è calibrato su ciò che è necessario per investigare un incidente. Se questa politica non è ancora stata definita, spesso fa parte della stessa procedura di gestione degli incidenti di sicurezza: chi utilizza i log per ricostruire un incidente deve anche documentare per quanto tempo questi log vengono conservati affinché ciò sia possibile.

Fondamento: articolo 21 paragrafo 2 e Allegato A

Il collegamento con l'articolo 21 paragrafo 2, lettere (b) e (d), della Direttiva (UE) 2022/2555 è indiretto: la direttiva richiede la gestione degli incidenti e lo sviluppo sicuro dei sistemi, e la conservazione dei log ne è un presupposto, non un requisito esplicito. L'Allegato A di ISO/IEC 27001 è più concreto con la misura sulla registrazione e il monitoraggio, ma nemmeno lì è fissato un termine specifico; la norma richiede che l'organizzazione stessa determini e motivi un periodo. Le aziende che già verificano periodicamente se le loro misure funzionano ancora di solito hanno già incluso il termine di conservazione dei log come parte fissa di questa verifica e possono trasferire direttamente questo periodo nella risposta.