Hvad en sikkerhedslog for e-mail bruges til
- At forstå en beslutning. En kunde klager over, at en e-mail aldrig er kommet frem: loggen viser, om den blev afvist, sat i karantæne eller leveret, og med hvilken begrundelse.
- At bevise, at en e-mail blev stoppet. Efter et svindelforsøg kan virksomheden vise, at e-mailen blev blokeret, og hvornår.
- At efterforske efter en hændelse. Hvem i virksomheden har modtaget den samme kampagne? Hvor længe har dette forvekslingsdomæne skrevet?
- At forsyne et SIEM. Et værktøj til sikkerhedsovervågning sammenholder filterets beslutninger med logins, arbejdsstationer og netværk.
Filterlog. Sporet af filterets beslutninger: dato, afsenderdomæne, score, begrundelse, beslutning. Det er ikke en kopi af posten. Opbevaring af selve e-mailene hører under e-mailsystemet og om nødvendigt under en lovpligtig arkivering.
Hvad en beslutning indeholder
I Klytic MTA forklares hver beslutning. Scoren og begrundelsen står i headerne på den leverede e-mail under navne, der er specifikke for Klytic: X-KlyticMTA-Status for beslutningen, X-KlyticMTA-Score for scoren, X-KlyticMTA-Reason for begrundelsen. En administrator kan altså læse på selve e-mailen, hvorfor den blev leveret. Det gælder i begge abonnementer.
Abonnementet Advanced tilføjer logfiler, der præsenteres som i overensstemmelse med CIS- og NIST-referencerammerne, og som kan eksporteres til jeres SIEM. Forskellen mellem de to abonnementer er derfor klar:
- Essential: beslutningen forklares, e-mail for e-mail, i headerne.
- Advanced: beslutningerne udgør desuden en log, som I kan sende til jeres eget værktøj for at opbevare den og sammenholde den med andre kilder.
Den daglige aflæsning af disse beslutninger er beskrevet i Læs og eksportér en filterbeslutning.
To ure, der ikke må forveksles
Filterets tekniske ur
Det er kendt og fastlagt af produktet. For Klytic MTA:
| Data | Varighed |
|---|
| Afsender, modtagere, emne, brødtekst, navne på vedhæftede filer efter normal levering | Slettes efter 2 dage som standard; perioden kan indstilles |
| Tidsstempel, afsenderdomæne, scorer, beslutning, analysemetadata | Bevares efter sletningen |
| Farlig e-mail i karantæne | Fuldstændig og krypteret, så længe frigivelseslinket er gyldigt, 7 dage |
| E-mail i kø (postkasseserveren kan ikke nås) | Krypteret indtil levering, eller indtil fristen udløber |
Den praktiske konsekvens: en måned efter hændelsen ved filteret, at en e-mail fra et bestemt domæne blev sat i karantæne, med hvilken score og hvilken begrundelse. Det ved ikke længere, hvem der sendte den til hvem, eller hvad den sagde. Søger en kontrol indholdet, skal det findes i postkassen eller i arkivet.
Pas på en hyppig forveksling: den backup på 30 dage, der angives for postkasserne i Klytic Mail, gælder postkasserne, ikke gatewayens logfiler. Det er to tjenester og to perioder.
Det ur, virksomheden vælger
Det afhænger af formålet. Ingen regel fastsætter én bestemt varighed for en filterlog for e-mail. Rammen er GDPR: man opbevarer, så længe formålet berettiger det, og man dokumenterer det.
Et nyttigt pejlemærke: for logning af adgang og handlinger i en behandling af personoplysninger anbefaler den franske datatilsynsmyndighed CNIL en periode på mellem seks måneder og et år, længere i visse begrundede tilfælde. Anbefalingen er ikke bindende, og den gælder først og fremmest adgangslogfiler, ikke en filterlog. Den minder også om, at logfiler ikke bør opbevare data længere end den periode, der er fastsat for selve dataene.
I praksis gælder den lange periode for eksporten i jeres SIEM: det er der, I fastlægger opbevaring, adgang og sletning. Filteret selv gemmer kun lidt.
Eksempel: tre måneder efter et svindelforsøg
Et hypotetisk tilfælde. I januar modtager flere medarbejdere i en virksomhed en falsk e-mail fra deres direktør. I april spørger forsikringsselskabet, hvad der skete. Hvad kan man vise?
- I filteret: datoen, det forvekslingsdomæne, der skrev, scoren, begrundelsen (forvekslingsdomæne, forfalsket visningsnavn) og karantænebeslutningen for hver e-mail. Ikke længere modtagernes adresser eller teksten, der for længst er slettet.
- I SIEM, hvis virksomheden har abonnementet Advanced og opbevarer eksporten længere: den samme log med det, virksomhedens politik har valgt at gemme, sammenholdt med datidens logins.
- I postkasserne: intet, da e-mailene blev stoppet forinden.
Beviset bygger altså på beslutningen, ikke på indholdet. Vil virksomheden gemme mere, er det en beslutning, der skal træffes før hændelsen, ved at fastlægge opbevaringen af eksporten.
Hvem har adgang til logfilerne
- Administratoren af Klytic MTA læser beslutningerne for sine domæner og modtager eksporten til SIEM i abonnementet Advanced.
- Brugeren ser sin egen karantæne via det link, brugeren modtager, uanset om brugeren har en Klytic-postkasse eller ej: se Karantæne, falske positiver og indberetninger.
- I jeres SIEM er det jeres adgangsregler, der gælder: begræns læsning til de personer, der har ansvaret for sikkerheden.
En sikkerhedslog indeholder selv personoplysninger, om ikke andet domæner og tidspunkter: den skal beskyttes og slettes på samme måde.
God praksis
- Skriv formålet ned: fejlfinding, bevis, efterforskning, overvågning.
- Fastlæg eksportens opbevaringstid derefter, og før den ind i fortegnelsen over behandlingsaktiviteter.
- Begræns adgangen, og log, hvem der læser selve logfilerne.
- Gør ikke loggen til et arkiv af posten: gem metadata, ikke e-mailenes brødtekst.
- Test en reel søgning: find den beslutning, der blev truffet om en e-mail for tre måneder siden.
Optagelser af telefonsamtaler følger en anden logik og andre perioder: se hvor længe optagelser af telefonsamtaler skal opbevares.
Ofte stillede spørgsmål
Kan man finde indholdet af en e-mail, der blev filtreret for en måned siden?
Ikke i filteret, hvis den blev leveret: indholdet slettes efter den korte periode. Søg i postkassen eller i arkivet.
Hvor længe skal logfilerne gemmes?
Afhængigt af formålet, der skal dokumenteres. CNIL’s anbefaling om logning angiver en størrelsesorden på seks måneder til et år.
Er eksport til et SIEM inkluderet i Essential?
Nej, den er en del af Advanced. Essential forklarer hver beslutning i headerne.
Kræver disse logfiler Klytic Mail?
Nej. De produceres af Klytic MTA, uanset hvilket e-mailsystem der står bagved.
Hvor Klytic står
Klytic MTA forklarer hver beslutning med en score og en begrundelse i headerne, i Essential såvel som i Advanced. Advanced tilføjer logfiler, der kan eksporteres til jeres SIEM, og DMARC-konsollen.
Den tekniske opbevaring er begrænset: ingen varig opbevaring af den leverede e-mail, sletning af de personhenførbare analysedetaljer efter 2 dage som standard, farlig e-mail gemt krypteret, så længe frigivelseslinket gælder, krypteret kø. Den lange opbevaring foregår, hvis I har brug for den, i jeres eget værktøj ud fra eksporten.
Tjenesten findes uden Klytic Mail. Den leveres i Klytic-cloud, på en dedikeret instans eller på jeres servere.
Denne side beskriver en generel ramme. Den opbevaringsperiode, der gælder for jeres organisation, afhænger af jeres formål og i givet fald af branchespecifikke forpligtelser.
Juridisk status pr. 11. oktober 2026. Ingen af de gennemgåede regler fastsætter en særlig opbevaringsperiode for filterlogfiler for e-mail. CNIL’s anbefaling af 18. november 2021 om logning er ikke bindende.
Kilder
Gennemgået i oktober 2026.
- CNIL, »La CNIL publie une recommandation relative aux mesures de journalisation« (18. november 2021): anbefalet opbevaringsperiode på seks måneder til et år for logning af adgang til en behandling, mulige forlængelser, hvis de er begrundede, ikke-bindende anbefaling. cnil.fr
- Klytic, siden Klytic MTA: beslutning forklaret i headerne (Essential og Advanced), CIS/NIST-logfiler, der kan eksporteres til et SIEM (Advanced), moduler i abonnementerne Essential og Advanced, tilvalg, driftsformer, idriftsættelse via MX. klytic.com
