ankieta pyta, jak długo przechowujemy dzienniki systemowe i pliki logów

Brak stałego okresu przechowywania w NIS2 ani ISO 27001

W przepisach nie ma liczby. Artykuł 21 ust. 2 dyrektywy NIS2 nie wymienia rejestrowania jako oddzielnego punktu, ale dzienniki zdarzeń w praktyce podlegają dwóm z dziesięciu środków: część (b) dotycząca obsługi incydentów bezpieczeństwa oraz część (d) dotycząca bezpieczeństwa przy zakupie, opracowywaniu i utrzymaniu systemów. Oba wymagają, aby organizacja mogła odtworzyć incydenty, co jest możliwe tylko z dzienników przechowywanych wystarczająco długo, aby widać był atak. Jak długo to trwa, dyrektywa pozostawia samej organizacji.

To, co klient faktycznie chce wiedzieć, to nie liczba, ale czy stoi za tym świadoma decyzja. Odpowiedź taka jak "90 dni dla dzienników aplikacji, 12 miesięcy dla dzienników dostępu" jest mocniejsza niż "przechowujemy dzienniki" bez okresu, ponieważ pokazuje, że okres został dostosowany do tego, co jest potrzebne do zbadania incydentu. Jeśli ta polityka nie została jeszcze ustalona, często stanowi część tej samej procedury co postępowanie w przypadku incydentów bezpieczeństwa: kto wykorzystuje dzienniki do odtworzenia incydentu, musi również udokumentować, jak długo dzienniki są przechowywane, aby to umożliwić.

Uzasadnienie: artykuł 21 ust. 2 i Załącznik A

Związek z artykułem 21 ust. 2, części (b) i (d) Dyrektywy (UE) 2022/2555 jest pośredni: dyrektywa wymaga obsługi incydentów i bezpiecznego opracowywania systemów, a przechowywanie dzienników jest warunkiem wstępnym, a nie wymaganiem jawnym. ISO/IEC 27001 Załącznik A jest bardziej konkretny w kwestii środka dotyczącego rejestrowania i monitorowania, ale także tam nie ma stałego okresu; norma wymaga, aby sama organizacja określiła i uzasadniła okres. Firmy, które już okresowo weryfikują, czy ich środki nadal działają zwykle mają okres przechowywania dzienników jako stały element tej weryfikacji i mogą bezpośrednio przenieść ten okres do odpowiedzi.