Mihin sähköpostin tietoturvalokia tarvitaan
- Päätöksen ymmärtämiseen. Asiakas valittaa, ettei viesti koskaan saapunut: loki kertoo, hylättiinkö se, asetettiinko se karanteeniin vai toimitettiinko se, ja millä perusteella.
- Sen todistamiseen, että viesti pysäytettiin. Huijausyrityksen jälkeen yritys voi osoittaa, että viesti estettiin, ja milloin.
- Tutkintaan häiriön jälkeen. Kuka yrityksessä sai saman kampanjan? Mistä lähtien tämä samannäköinen verkkotunnus on lähettänyt viestejä?
- SIEM-järjestelmän syöttämiseen. Tietoturvan valvontatyökalu yhdistää suodattimen päätökset kirjautumisiin, työasemiin ja verkkoon.
Suodatusloki. Suodattimen päätösten jälki: päivämäärä, lähettäjän verkkotunnus, pisteet, peruste ja päätös. Se ei ole kopio postista. Itse viestien säilytys kuuluu sähköpostijärjestelmälle ja tarvittaessa lakisääteiselle arkistoinnille.
Mitä päätös sisältää
Klytic MTA:ssa jokainen päätös selitetään. Pisteet ja peruste ovat toimitetun viestin otsakkeissa Klyticin omilla nimillä: X-KlyticMTA-Status päätökselle, X-KlyticMTA-Score pisteille ja X-KlyticMTA-Reason perusteelle. Pääkäyttäjä voi siis lukea itse viestistä, miksi se toimitettiin. Tämä pätee molemmissa paketeissa.
Advanced-paketti lisää lokit, jotka esitetään CIS- ja NIST-viitekehysten mukaisina ja jotka voi viedä SIEM-järjestelmäänne. Pakettien ero on siis selvä:
- Essential: päätös selitetään viesti kerrallaan otsakkeissa.
- Advanced: päätöksistä muodostuu lisäksi loki, jonka voitte lähettää omaan työkaluunne säilytettäväksi ja yhdistettäväksi muihin lähteisiin.
Näiden päätösten päivittäinen tarkastelu kuvataan ohjeessa Suodattimen päätöksen lukeminen ja vienti.
Kaksi aikarajaa, joita ei pidä sekoittaa
Suodattimen tekninen aikaraja
Se on tunnettu ja tuotteen määrittämä. Klytic MTA:ssa:
| Tieto | Kesto |
|---|
| Lähettäjä, vastaanottajat, aihe, sisältö ja liitteiden nimet normaalin toimituksen jälkeen | Poistetaan oletuksena 2 päivän kuluttua; aika säädettävissä |
| Aikaleima, lähettäjän verkkotunnus, pisteet, päätös ja analyysin metatiedot | Säilytetään poiston jälkeen |
| Vaarallinen viesti karanteenissa | Kokonaisena ja salattuna vapautuslinkin voimassaoloajan, 7 päivää |
| Jonossa oleva viesti (postilaatikkopalvelin ei tavoitettavissa) | Salattuna toimitukseen tai määräajan umpeutumiseen asti |
Käytännön seuraus: kuukausi tapahtumien jälkeen suodatin tietää, että tietyn verkkotunnuksen viesti asetettiin karanteeniin ja millä pisteillä ja perusteella. Se ei enää tiedä, kuka sen lähetti kenelle, eikä sitä, mitä siinä luki. Jos tarkastuksessa etsitään sisältöä, sitä on etsittävä postilaatikosta tai arkistosta.
Varokaa yleistä sekaannusta: Klytic Mailin postilaatikoille ilmoitettu 30 päivän varmuuskopiointi koskee postilaatikoita, ei yhdyskäytävän lokeja. Kyse on kahdesta palvelusta ja kahdesta säilytysajasta.
Yrityksen valitsema aikaraja
Se riippuu käyttötarkoituksesta. Mikään säädös ei määrää yhtä säilytysaikaa sähköpostin suodatuslokille. Kehyksenä on GDPR: tietoja säilytetään niin kauan kuin käyttötarkoitus sitä edellyttää, ja tämä dokumentoidaan.
Hyödyllinen vertailukohta: henkilötietojen käsittelyyn kohdistuvien pääsyjen ja toimenpiteiden lokitukselle Ranskan tietosuojaviranomainen CNIL suosittaa kuuden kuukauden ja vuoden välistä säilytysaikaa, perustelluissa tapauksissa pidempää. Tämä suositus ei ole velvoittava, ja se koskee ensisijaisesti pääsylokeja, ei suodatuslokia. Se muistuttaa myös, ettei lokeissa pitäisi säilyttää tietoja itse tiedoille määritettyä aikaa pidempään.
Käytännössä pitkä säilytysaika koskee vietyjä tietoja SIEM-järjestelmässänne: siellä määritätte säilytyksen, käyttöoikeudet ja poiston. Suodatin itse säilyttää vähän.
Esimerkki: kolme kuukautta huijausyrityksen jälkeen
Kuvitteellinen tapaus. Tammikuussa useat yrityksen työntekijät saavat väärän viestin johtajaltaan. Huhtikuussa vakuutusyhtiö kysyy, mitä tapahtui. Mitä voidaan osoittaa?
- Suodattimessa: päivämäärä, samannäköinen verkkotunnus, josta viestit lähetettiin, pisteet, peruste (samannäköinen verkkotunnus, näyttönimen väärentäminen) ja karanteenipäätös jokaisesta viestistä. Ei enää vastaanottajien osoitteita eikä tekstiä, jotka on poistettu kauan sitten.
- SIEM-järjestelmässä, jos yrityksellä on Advanced-paketti ja se säilyttää vietyjä tietoja pidempään: sama loki niillä tiedoilla, jotka yrityksen politiikka on päättänyt säilyttää, yhdistettynä sen ajan kirjautumisiin.
- Postilaatikoissa: ei mitään, koska viestit pysäytettiin ennen niitä.
Todiste perustuu siis päätökseen, ei sisältöön. Jos yritys haluaa säilyttää enemmän, siitä on päätettävä ennen häiriötä määrittämällä vietyjen tietojen säilytysaika.
Kuka pääsee lokeihin
- Klytic MTA:n pääkäyttäjä lukee verkkotunnustensa päätökset ja saa Advanced-paketissa viennin SIEM-järjestelmään.
- Käyttäjä näkee oman karanteeninsa saamansa linkin kautta, oli hänellä Klyticin postilaatikko tai ei: katso Karanteeni, väärät positiiviset ja ilmoitukset.
- SIEM-järjestelmässänne sovelletaan omia käyttöoikeussääntöjänne: rajatkaa lukuoikeus tietoturvasta vastaaville henkilöille.
Tietoturvaloki sisältää itsekin henkilötietoja, vaikkapa vain verkkotunnuksia ja kellonaikoja: se suojataan ja poistetaan samoin kuin ne.
Hyvät käytännöt
- Kirjatkaa käyttötarkoitus: vianmääritys, todiste, tutkinta, valvonta.
- Määrittäkää vietyjen tietojen säilytysaika sen mukaan ja kirjatkaa se selosteeseen käsittelytoimista.
- Rajatkaa pääsyä ja kirjatkaa myös itse lokien katselu.
- Älkää muuttako lokia postin arkistoksi: säilyttäkää metatiedot, ei viestien sisältöä.
- Testatkaa todellinen haku: etsikää kolme kuukautta sitten saapuneesta viestistä tehty päätös.
Puhelutallenteisiin sovelletaan eri logiikkaa ja eri säilytysaikoja: katso kuinka kauan puhelutallenteita säilytetään.
Usein kysyttyä
Voiko kuukausi sitten suodatetun viestin sisällön löytää?
Ei suodattimesta, jos viesti toimitettiin: sisältö poistetaan lyhyen ajan jälkeen. Etsikää sitä postilaatikosta tai arkistosta.
Kuinka kauan lokeja on säilytettävä?
Käyttötarkoituksen mukaan, ja se on dokumentoitava. CNIL:n lokitussuositus antaa suuruusluokaksi kuudesta kuukaudesta vuoteen.
Sisältyykö vienti SIEM-järjestelmään Essential-pakettiin?
Ei, se kuuluu Advanced-pakettiin. Essential selittää jokaisen päätöksen otsakkeissa.
Tarvitaanko Klytic Mail näitä lokeja varten?
Ei. Ne tuottaa Klytic MTA riippumatta siitä, mikä sähköpostijärjestelmä on sen takana.
Klyticin asema
Klytic MTA selittää jokaisen päätöksen pisteillä ja perusteella otsakkeissa, sekä Essentialissa että Advancedissa. Advanced lisää SIEM-järjestelmäänne vietävät lokit ja DMARC-konsolin.
Tekninen säilytys on rajattu: toimitettua viestiä ei säilytetä pysyvästi, analyysin henkilötiedot poistetaan oletuksena 2 päivän jälkeen, vaarallinen viesti säilytetään salattuna vapautuslinkin voimassaoloajan, ja jono on salattu. Pitkäaikainen säilytys, jos tarvitsette sitä, tehdään omassa työkalussanne viedyistä tiedoista.
Palvelu on saatavilla ilman Klytic Mailia. Se otetaan käyttöön Klyticin pilvessä, omistetulla instanssilla tai palvelimillanne.
Tämä sivu kuvaa yleisen kehyksen. Organisaatioonne sovellettava säilytysaika riippuu käyttötarkoituksistanne ja tarvittaessa toimialakohtaisista velvoitteista.
Oikeudellinen tilanne 11. lokakuuta 2026. Mikään luettu säädös ei määrää erityistä säilytysaikaa sähköpostin suodatuslokeille. CNIL:n 18. marraskuuta 2021 antama lokitussuositus ei ole velvoittava.
Lähteet
Tarkistettu lokakuussa 2026.
- CNIL, ”La CNIL publie une recommandation relative aux mesures de journalisation” (18. marraskuuta 2021): suositeltu säilytysaika kuudesta kuukaudesta vuoteen käsittelyyn kohdistuvien pääsyjen lokitukselle, pidennykset mahdollisia perustellusti, suositus ei ole velvoittava. cnil.fr
- Klytic, Klytic MTA -sivu: päätös selitetään otsakkeissa (Essential ja Advanced), CIS/NIST-lokit vietävissä SIEM-järjestelmään (Advanced), Essential- ja Advanced-pakettien moduulit, lisäpalvelut, käyttöönottotavat, käyttöönotto MX-tietueen kautta. klytic.com
