Der findes ikke ét tal, der gælder for alle logs i alle virksomheder. Opbevaringstiden skal fastsættes af jer selv ud fra to hensyn, der trækker i hver sin retning: Logs skal gemmes længe nok til, at I kan opdage og dokumentere en hændelse, men ikke længere end nødvendigt, fordi de indeholder persondata. Det vigtigste er, at I træffer en bevidst beslutning for hver type log og skriver begrundelsen ned.
Det, der går galt i praksis, er sjældent, at virksomheden har valgt forkert. Det er, at ingen har valgt, og at standardindstillingen hos leverandøren har bestemt, at loggen slettes efter kort tid.
De to hensyn
Bevis. Mange sager bliver opdaget sent. En medarbejder, der har kopieret kundedata, bliver måske først opdaget, når kunderne begynder at forsvinde måneder senere. En konto kan have været overtaget i lang tid, før nogen opdager det. Er loggen slettet, kan I ikke dokumentere, hvad der skete.
Dataminimering. Logs viser, hvad medarbejderne har lavet, hvornår og hvorfra. Det er persondata. Efter databeskyttelsesreglerne må persondata ikke gemmes længere end nødvendigt til formålet. Jo længere I gemmer, jo bedre skal I kunne begrunde det.
Ingen af hensynene vinder automatisk. I skal afveje dem.
Hvad påvirker opbevaringstiden?
Når I skal vælge, så tænk på disse spørgsmål for hver type log:
- Hvor hurtigt opdager I typisk en hændelse? Opdager I sjældent noget inden for en måned, er en opbevaring på en måned for kort.
- Hvilke sager kan loggen bruges i? Loginlogs kan bruges i mange slags sager. En printerlog i færre.
- Hvor følsom er loggen? En log over login er mindre indgribende end en log over, hvilke kundesager en medarbejder har åbnet.
- Hvilke frister gælder for de krav, der kan opstå? Krav i tvister kan typisk rejses i en årrække. Det betyder ikke, at alle logs skal gemmes lige så længe, men det er en faktor.
- Er der andre regler? Bogføringsmateriale har sin egen opbevaringspligt, og nogle brancher har særlige krav.
Hvad gør I nu, trin for trin
- Lav en liste over jeres logs. Brug de fire områder: login, mail, filer og administratorhandlinger. → Minimumslogning
- Find den nuværende opbevaringstid for hver log. Spørg IT eller leverandøren, og få svaret skriftligt. Den afhænger ofte af licens. → Licensniveau og beviser
- Beslut en opbevaringstid for hver log, og skriv begrundelsen i én eller to sætninger.
- Tjek, at beslutningen kan gennemføres. Kræver den en anden licens eller en løsning, der samler logs, så tag stilling til udgiften.
- Skriv den ind i jeres slettepolitik, så den hænger sammen med reglerne for andre data. → Slettepolitik og bevarelse
- Orientér medarbejderne om, hvad der logges, og hvor længe det gemmes.
- Gennemgå beslutningen en gang om året.
Overvejer I at gemme logs, der giver et detaljeret billede af medarbejdernes arbejde, kan en konsekvensanalyse være nødvendig. → Konsekvensanalyse (DPIA) for logning
Hvem gør hvad
- IT · Kortlægger logs og nuværende opbevaring
- DPO eller ansvarlig for persondata · Vurderer persondata og begrundelse
- Ledelse · Træffer beslutningen og godkender udgiften
- HR · Orienterer medarbejderne
Når der opstår en sag
Når I får mistanke om noget, eller når en tvist er under opsejling, ændrer situationen sig. Så kan I have pligt til at bevare de data, der kan have betydning, også selv om jeres slettepolitik siger, at de skal slettes. Det betyder i praksis, at I skal stoppe den automatiske sletning for de relevante logs og eksportere dem.
Det er ikke et brud på jeres slettepolitik. Det er en undtagelse, som politikken bør nævne. Skriv ned, hvornår sletningen blev stoppet, hvorfor og for hvilke data. → Bevarelsespligt og litigation hold
Når sagen er afsluttet, skal de bevarede data slettes igen efter de normale regler, medmindre der er en anden grund til at gemme dem.
Logs, der ligger hos leverandøren
Mange af jeres vigtigste logs ligger ikke hos jer, men hos leverandøren af cloudtjenesten, hostingen eller fagsystemet. Leverandøren har sin egen opbevaringstid, som I ikke nødvendigvis kan ændre. Nogle leverandører gemmer logs i kort tid. Andre gemmer dem længe, men udleverer dem kun mod betaling eller slet ikke.
Spørg derfor hver leverandør:
- Hvilke logs gemmer I om vores brug?
- Hvor længe?
- Kan vi selv hente dem, eller skal vi bede jer om det?
- Hvor hurtigt kan I udlevere dem, hvis der opstår en sag?
Er svaret ikke godt nok, kan løsningen være at hente loggene jævnligt og gemme dem selv, eller at aftale det i kontrakten næste gang, den forhandles. Skriv svarene ind i jeres oversigt over systemer, så de er til at finde.
Det skal I lade være med
- Lad være med at lade standardindstillingen bestemme. Den er valgt af leverandøren, ikke af jer.
- Lad være med at gemme alt for evigt for en sikkerheds skyld. Det er svært at begrunde og øger risikoen, hvis loggene selv bliver lækket.
- Lad være med at slette logs, når en sag er under opsejling, fordi slettepolitikken siger det. Stop sletningen og tal med jeres advokat.
- Lad være med at gemme logs ét sted, hvor den mistænkte kan slette dem. Opbevaring og adgang hænger sammen.
Et eksempel på en begrundelse
En begrundelse behøver ikke være lang. For en loginlog kunne den lyde sådan: “Loginloggen gemmes i et år, fordi uautoriseret adgang og misbrug af konti ofte opdages sent, og fordi loggen er nødvendig for at kunne dokumentere, hvem der har haft adgang til kundedata. Loggen indeholder brugernavn, tidspunkt, IP-adresse og enhed. Adgang er begrænset til IT og ledelsen.”
Tallet i eksemplet er ikke en anbefaling. Det er formen, der er pointen: hvad, hvor længe, hvorfor og hvem der har adgang. Den samme form kan bruges for hver log på jeres liste. Er begrundelsen svær at skrive, er det et tegn på, at opbevaringstiden måske bør være kortere.
Hvis logs allerede er slettet
Er en log slettet, før I nåede at reagere, kan der stadig være spor andre steder: i backup, hos leverandøren, i andre systemer eller på selve computerne. Det er ikke sikkert, men det er værd at undersøge, før I opgiver. Stop yderligere sletning med det samme, og skriv ned, hvad der er sket. Notér også, hvornår loggen blev slettet, og hvorfor, så I kan forklare det, hvis spørgsmålet kommer.
Hvornår skal I have hjælp?
Få en advokat eller jeres DPO til at se på begrundelserne, hvis I gemmer logs i lang tid, eller hvis loggene er detaljerede. Få en uvildig IT-sagkyndig til at vurdere, hvilke logs der i praksis har værdi som dokumentation, og om de kan eksporteres på en måde, der holder.
Læs også: Minimumslogning: hvad bør være slået til, før noget sker? · Beredskabsplan med et afsnit om bevissikring · Ordbog for ledere
→ Bevissikring ved fratræden af nøglemedarbejdere · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
