upitnik pita koliko dugo čuvamo naše sistemske logove i datoteke zapisnika

Nema fiksnog roka čuvanja u NIS2 ili ISO 27001

U regulaciji nema određenog broja. Članak 21 stavak 2 Direktive NIS2 ne nabraja zapisivanje kao odvojenu stavku, ali se datoteke zapisnika u praksi primjenjuju na dvije od deset mjera: točka (b), rukovanje sigurnosnim incidentima, i točka (d), zaštita pri nabavi, razvoju i održavanju sustava. Oboje zahtijeva da organizacija može ponovno konstruirati incidente, što je moguće samo s zapisnicima koji se čuvaju dovoljno dugo da se vidi napad unatrag. Koliko dugo to treba biti, direktiva prepušta samoj organizaciji.

Ono što klijent zapravo želi znati nije broj već je li to bila svjesna odluka. Odgovor poput "90 dana za zapisnike aplikacije, 12 mjeseci za zapisnike pristupa" jači je od "čuvamo zapisnike" bez vremenskog razdoblja, jer pokazuje da je rok prilagođen onome što je potrebno za istragu incidenta. Ako je takva politika još uvijek nedostaje, često je to dio istog postupka kao rukovanje sigurnosnim incidentima: onaj koji koristi zapisnike za ponovno konstruiranje incidenta mora također navesti koliko dugo se ti zapisnici čuvaju kako bi se to moglo napraviti.

Obrazloženje: članak 21 stavak 2 i Prilog A

Veza s člankom 21 stavkom 2, točkama (b) i (d), Direktive (EU) 2022/2555 je neizravna: direktiva zahtijeva rukovanje incidentima i siguran razvoj sustava, a čuvanje zapisnika je preduvjet za to, ali ne eksplicitni zahtjev. ISO/IEC 27001 Prilog A je konkretniji s mjerom o zapisivanju i nadzoru, ali niti tamo nema fiksnog roka; norma zahtijeva da organizacija sama odredi i opravda rok. Poduzeća koja već periodički provjeravaju rade li njihove mjere još obično su rok čuvanja zapisnika već uključila kao stalnom dijelom te provjere i mogu taj rok izravno preuzeti u odgovor.