Mire szolgál egy e-mail-biztonsági napló
- Egy döntés megértésére. Egy ügyfél panaszkodik, hogy egy üzenet sosem érkezett meg: a naplóból kiderül, hogy elutasították, karanténba helyezték vagy kézbesítették, és milyen indokkal.
- Annak bizonyítására, hogy egy üzenetet megállítottak. Egy csalási kísérlet után a vállalat megmutathatja, hogy az üzenetet letiltották, és mikor.
- Vizsgálatra egy incidens után. Ki kapta meg a vállalaton belül ugyanazt a kampányt? Mióta ír ez a hasonmás domain?
- Egy SIEM ellátására. Egy biztonsági felügyeleti eszköz összeveti a szűrő döntéseit a bejelentkezésekkel, a munkaállomásokkal és a hálózattal.
Szűrési napló. A szűrő döntéseinek nyoma: dátum, feladó domainje, pontszám, indok, döntés. Nem a levelek másolata. Maguknak az üzeneteknek a megőrzése a levelezőrendszer, és szükség esetén a jogi archiválás feladata.
Mit tartalmaz egy döntés
A Klytic MTA-ban minden döntés indokolt. A pontszám és az indok a kézbesített üzenet fejléceiben szerepel, Klytic-specifikus neveken: X-KlyticMTA-Status a döntéshez, X-KlyticMTA-Score a pontszámhoz, X-KlyticMTA-Reason az indokhoz. Egy adminisztrátor tehát magán az üzeneten olvashatja el, miért kézbesítették. Ez mindkét csomagban így van.
Az Advanced csomag ehhez a CIS és NIST keretrendszereknek megfelelőként bemutatott naplókat ad, amelyek az Ön SIEM-jébe exportálhatók. A két csomag közötti különbség tehát egyértelmű:
- Essential: a döntés indoklása üzenetenként, a fejlécekben.
- Advanced: a döntések ezen felül egy naplót alkotnak, amelyet saját eszközébe küldhet, hogy megőrizze és más forrásokkal összevesse.
Ezeknek a döntéseknek a mindennapi olvasását A szűrő egy döntésének olvasása és exportálása írja le.
Két óra, amelyeket nem szabad összetéveszteni
A szűrő műszaki órája
Ezt a termék ismerten és rögzítetten határozza meg. A Klytic MTA esetében:
| Adat | Időtartam |
|---|
| Feladó, címzettek, tárgy, törzs, a mellékletek neve, normál kézbesítés után | Alapértelmezés szerint 2 nap után törlődik; az időtartam beállítható |
| Időbélyeg, feladó domainje, pontszámok, döntés, elemzési metaadatok | A törlés után is megmarad |
| Karanténba helyezett veszélyes üzenet | Teljes egészében, titkosítva, a felengedési link érvényességének idejére, 7 napig |
| Várakozó sorban lévő üzenet (a postafiókszerver nem érhető el) | Titkosítva, a kézbesítésig vagy a határidő lejártáig |
Gyakorlati következmény: egy hónappal az események után a szűrő tudja, hogy egy adott domainről érkezett üzenetet karanténba helyeztek, milyen pontszámmal és milyen indokkal. Azt viszont már nem tudja, ki küldte kinek, és mi állt benne. Ha egy ellenőrzés a tartalmat keresi, a postafiókban vagy az archívumban kell keresni.
Vigyázat egy gyakori félreértéssel: a Klytic Mail postafiókjaihoz meghirdetett 30 napos mentés a postafiókokra vonatkozik, nem az átjáró naplóira. Ez két szolgáltatás és két időtartam.
A vállalat által választott óra
Ez a céltól függ. Egyetlen jogszabály sem ír elő egységes időtartamot egy levelezési szűrési naplóra. A keret a GDPR: addig kell megőrizni, amíg a cél indokolja, és ezt dokumentálni kell.
Hasznos viszonyítási pont: a személyesadat-kezeléshez kapcsolódó hozzáférések és műveletek naplózására a CNIL hat hónap és egy év közötti időtartamot ajánl, bizonyos indokolt esetekben hosszabbat. Ez az ajánlás nem kötelező, és elsősorban a hozzáférési naplókra vonatkozik, nem a szűrési naplóra. Arra is emlékeztet, hogy a naplók nem őrizhetnek meg adatokat hosszabb ideig, mint amennyi magára az adatokra előírt időtartam.
A gyakorlatban a hosszú időtartam az exportra vonatkozik, az Ön SIEM-jében: ott határozza meg a megőrzést, a hozzáférést és a törlést. A szűrő maga keveset őriz meg.
Példa: három hónappal egy csalási kísérlet után
Feltételezett eset. Januárban egy vállalat több munkavállalója hamis üzenetet kap a vezetőjétől. Áprilisban a biztosító megkérdezi, mi történt. Mit lehet bemutatni?
- A szűrőben: minden üzenetre a dátumot, az író hasonmás domaint, a pontszámot, az indokot (hasonmás domain, a megjelenített név hamisítása) és a karanténba helyezési döntést. A címzettek címét és a szöveget már nem, ezeket rég törölték.
- A SIEM-ben, ha a vállalat az Advanced csomaggal rendelkezik, és hosszabb ideig őrzi az exportot: ugyanazt a naplót, azzal, amit a vállalat szabályzata megőrizni rendelt, összevetve az akkori bejelentkezésekkel.
- A postafiókokban: semmit, hiszen az üzeneteket már előtte megállították.
A bizonyíték tehát a döntésen alapul, nem a tartalmon. Ha a vállalat többet akar megőrizni, erről az incidens előtt kell döntenie, az export megőrzésének meghatározásával.
Ki fér hozzá a naplókhoz
- A Klytic MTA adminisztrátora olvassa domainjei döntéseit, és az Advanced csomagban ő kapja a SIEM-be irányuló exportot.
- A felhasználó a saját karanténját látja, a kapott linken keresztül, akár van Klytic-postafiókja, akár nincs: lásd Karantén, téves riasztások és bejelentések.
- Az Ön SIEM-jében az Ön hozzáférési szabályai érvényesek: az olvasást korlátozza a biztonságért felelős személyekre.
Egy biztonsági napló maga is tartalmaz személyes adatokat, ha mást nem, domaineket és időpontokat: ugyanúgy kell védeni és törölni, mint azokat.
Jó gyakorlatok
- A cél rögzítése írásban: diagnosztika, bizonyítás, vizsgálat, felügyelet.
- Az export időtartamának ennek megfelelő meghatározása, és rögzítése az adatkezelési nyilvántartásban.
- A hozzáférés korlátozása, és maguknak a naplóknak a megtekintését is naplózni kell.
- A naplót nem szabad a levelek archívumává alakítani: a metaadatokat kell megőrizni, nem az üzenetek törzsét.
- Egy valós keresés kipróbálása: egy három hónappal ezelőtti üzenetről hozott döntés visszakeresése.
A hívásrögzítésekre más logika és más időtartamok vonatkoznak: lásd Meddig kell megőrizni a hívásrögzítéseket.
Gyakori kérdések
Visszakereshető-e egy hónappal ezelőtt szűrt üzenet tartalma?
A szűrőben nem, ha kézbesítették: a tartalom a rövid időtartam után törlődik. Keresse a postafiókban vagy az archívumban.
Meddig kell megőrizni a naplókat?
A céltól függően, amelyet dokumentálni kell. A CNIL naplózásról szóló ajánlása hat hónap és egy év közötti nagyságrendet ad meg.
Az Essential csomag tartalmazza a SIEM-be történő exportot?
Nem, ez az Advanced csomag része. Az Essential csomag minden döntést a fejlécekben indokol.
Kell-e Klytic Mail ezekhez a naplókhoz?
Nem. A Klytic MTA készíti őket, bármilyen levelezőrendszer áll is mögötte.
Hol helyezkedik el a Klytic
A Klytic MTA minden döntést egy pontszámmal és egy indokkal magyaráz meg a fejlécekben, az Essential és az Advanced csomagban egyaránt. Az Advanced csomag ehhez hozzáadja az Ön SIEM-jébe exportálható naplókat és a DMARC-konzolt.
A műszaki adatmegőrzés korlátozott: a kézbesített üzenetet nem őrzi meg tartósan, az elemzés személyes részleteit alapértelmezés szerint 2 nap után törli, a veszélyes üzenetet titkosítva őrzi a felengedési link érvényességéig, a várakozó sor titkosított. A hosszú távú megőrzés, ha szüksége van rá, az Ön eszközében történik, az export alapján.
A szolgáltatás Klytic Mail nélkül is elérhető. Telepíthető a Klytic-felhőben, dedikált példányon vagy az Ön szerverein.
Ez az oldal általános keretet ír le. Az Ön szervezetére alkalmazandó megőrzési idő a céljaitól és adott esetben ágazati kötelezettségektől függ.
Jogi helyzet 2026. október 11-én. Az áttekintett jogszabályok egyike sem ír elő kifejezetten a levelezési szűrési naplókra vonatkozó megőrzési időt. A CNIL 2021. november 18-i, a naplózásról szóló ajánlása nem kötelező.
Források
Megtekintve 2026 októberében.
- CNIL, „La CNIL publie une recommandation relative aux mesures de journalisation” (2021. november 18.): a hozzáférések naplózására ajánlott megőrzési idő hat hónap és egy év között, indokolt esetben hosszabbítható, az ajánlás nem kötelező. cnil.fr
- Klytic, Klytic MTA oldal: a fejlécekben indokolt döntés (Essential és Advanced), SIEM-be exportálható CIS / NIST naplók (Advanced), az Essential és az Advanced csomag moduljai, opciók, telepítési módok, üzembe helyezés az MX-en keresztül. klytic.com
