kyselylomakkeessa kysytään, kuinka kauan säilytämme järjestelmälokeja ja lokitiedostoja

Ei kiinteää säilytysaikaa NIS2:ssa tai ISO 27001:ssä

Säädöksessä ei ole numeroa. NIS2-direktiivin 21 artiklan 2 kappaleen mukaan lokitiedostoja ei mainita erillisenä pisteenä, mutta käytännössä lokitiedostot kuuluvat kahteen kymmenestä toimenpiteestä: kohdan (b) tietoturvapoikkeamien käsittelyn ja kohdan (d) järjestelmien hankinnan, kehittämisen ja ylläpidon turvaamiseen. Molemmat edellyttävät, että organisaatio pystyy rekonstruoimaan poikkeamat, mikä on mahdollista vain, jos lokeja säilytetään niin kauan, että hyökkäykset voidaan nähdä. Direktiivi jättää sen, kuinka pitkäksi ajaksi, organisaation itse päätettäväksi.

Asiakas haluaa siis tietää, ei numeroa vaan sitä, onko säilytysajasta tehty tietoinen valinta. Vastaus, kuten "90 päivää sovelluslokitiedostoille, 12 kuukautta pääsynlokeille", on vahvempi kuin "säilytämme lokitiedostoja" ilman ajanjaksoa, koska se osoittaa, että aika on suhteutettu siihen, mikä on tarpeen poikkeaman tutkimiseen. Jos tätä käytäntöä ei ole vielä määritetty, se on usein osa samaa menettelyä kuin lähestymistapa tietoturvapoikkeamiin: jokaisen, joka käyttää lokeja poikkeaman rekonstruoimiseen, on myös dokumentoitava, kuinka kauan nämä lokit säilytetään, jotta se olisi mahdollista.

Perustelu: artikla 21 luku 2 ja liite A

Linkitys artiklan 21 luvun 2 osiin (b) ja (d), direktiivistä (EU) 2022/2555, on epäsuora: direktiivi edellyttää poikkeamien käsittelyä ja turvallista järjestelmän kehitystä, ja lokit ovat sille edellytys, ei nimenomainen vaatimus. ISO/IEC 27001 liite A on konkreettisempi lokituksesta ja seurannasta, mutta siinäkään ei ole määritelty kiinteää säilytysjaksoa; standardi edellyttää, että organisaatio itse määrittää jakson ja perustelee sen. Yritykset, jotka jo tarkistavat säännöllisesti, toimivatko niiden toimenpiteet edelleen ovat yleensä jo sisällyttäneet lokien säilytysjaksoa tähän tarkistukseen pysyvästi, ja voivat siirtää sen suoraan vastaukseensa.