o questionário pergunta por quanto tempo mantemos nossos logs de sistema e arquivos de log

Sem período de retenção fixo em NIS2 ou ISO 27001

Não há um número na regulamentação. O artigo 21.º, n.º 2 da Diretiva NIS2 não menciona registos como ponto separado, mas os ficheiros de registo caem na prática sob duas das dez medidas: alínea (b), o tratamento de incidentes de segurança, e alínea (d), a segurança na aquisição, desenvolvimento e manutenção de sistemas. Ambas exigem que uma organização possa reconstruir incidentes, e isso só é possível com registos mantidos por tempo suficiente para identificar um ataque. A diretiva deixa ao critério da própria organização o tempo de retenção.

O que o cliente na verdade quer saber não é um número, mas se existe uma escolha deliberada por trás. Uma resposta como "90 dias para registos de aplicações, 12 meses para registos de acesso" é mais robusta do que "mantemos registos" sem período, porque demonstra que o período foi ajustado ao necessário para investigar um incidente. Se essa política ainda não foi estabelecida, muitas vezes faz parte do mesmo procedimento que a abordagem aos incidentes de segurança: quem utiliza registos para reconstruir um incidente deve também registar quanto tempo esses registos são mantidos para isso.

Fundamentação: artigo 21.º, n.º 2 e Anexo A

A ligação ao artigo 21.º, n.º 2, alíneas (b) e (d), da Diretiva (UE) 2022/2555 é indireta: a diretiva exige o tratamento de incidentes e o desenvolvimento seguro de sistemas, e a retenção de registos é um pré-requisito, não um requisito explícito. O Anexo A da ISO/IEC 27001 é mais concreto com a medida relativa a registos e monitorização, mas também não estabelece um período fixo; a norma exige que a própria organização determine e justifique um período. As empresas que já testam periodicamente se as suas medidas ainda funcionam normalmente já incluíram o período de retenção dos registos como parte fixa dessa avaliação e podem transferir diretamente esse período para a resposta.