Axitea, alcuni consigli alle aziende per gestire log e dati

Riguardo al tema della conservazione di log e più in generale dei dati, Elisabetta Dessì, Cyber Sales Specialist, Axitea consiglia di affidarsi a chi propone servizi ad ampio spettro, che riguardano cybersecurity, privacy, gestione dei dati.

Per quanto tempo vanno conservati i log di sistema? Questa è una delle domande che le aziende si pongono spesso quando si trovano ad affrontare temi come SIEM, Log Retention e Log Management.
Innanzitutto, bisogna fare qualche precisazione sulle espressioni utilizzate:

-quando si parla di Data Retention si intende il periodo tempo in cui i dati vengono conservati e sono disponibili per un eventuale ripristino. I dati ci saranno dal primo backup alla loro cancellazione;

-per la Log Retention vale quanto appena detto per i dati. I log sono dei file in cui vengono registrate le operazioni di un qualsiasi sistema informatico in modo sequenziale e cronologico;

-per Dati personali si intendono le informazioni che identificano o rendono identificabile, direttamente o indirettamente, una persona fisica.

La Data Retention dei dati personali è un concetto già introdotto dalla vecchia normativa Privacy del 2003, in cui si diceva che gli stessi devono essere conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.

Con l’entrata in vigore del GDPR questo concetto è stato esteso a chiunque tratti dati personali, ma restano comunque attive le direttive già presenti relative a particolari tipologie di dati (i dati di traffico telefonico degli operatori per 72 ore, quelli fiscali per 5 anni, gli accessi degli amministratori di rete per 6 mesi, per il solo periodo di utilizzo indicato, etc..).

È stato inoltre introdotto l’obbligo di denunciare che cosa accade ai dati personali nella propria rete. Risulta quindi importante e indispensabile conservare anche il registro delle attività fatte dai propri sistemi sui dati conservati, quindi i log.
Qual è dunque la risposta corretta alla domanda iniziale? In realtà quando si parla di log non ci sono tempistiche definite come per i dati personali, ma viene richiesto che ogni operazione sui dati sia tracciata in modo che in caso di ispezione si possa dimostrare di aver fatto tutto il possibile per tutelare i dati. Buona norma è quindi fare un’analisi preventiva dell’utilizzo dei dati nella propria azienda e decidere quanto tempo conservare i log, creando se necessario retention differenti per le tipologie di sistemi.

Un buon servizio di Log Management gestito può aiutare a predisporre la raccolta in maniera corretta, a rendere disponibile i dati quando necessari, a conservare secondo tutti i criteri normativi i Log (completezza, inalterabilità e verificabilità) e a tenere on-line quei log che ci possono servire in tempi stretti.
Come spesso accade, affrontare in modo corretto un aspetto quale la gestione e il mantenimento dei log, o dei dati in senso più ampio, non consente solo di soddisfare una determinata normativa – o practice. Ma può anche rendere più fluide ed efficaci altre operazioni, risultando così in un vantaggio operativo e di business.
Per questo, rivolgersi a professionisti che offrono servizi gestiti ad ampio spettro, che partono dalla cybersecurity ma toccano anche temi quali la privacy e la gestione dei dati, può consentire di sfruttare in positivo la normativa, generando valore e aprendo potenzialmente nuove opportunità.