A che cosa serve un log di sicurezza delle e-mail
- Capire una decisione. Un cliente lamenta che un messaggio non è mai arrivato: il log dice se è stato rifiutato, messo in quarantena o consegnato, e per quale motivo.
- Dimostrare che un messaggio è stato fermato. Dopo un tentativo di frode, l’azienda può mostrare che il messaggio è stato bloccato e in quale momento.
- Indagare dopo un incidente. Chi, in azienda, ha ricevuto la stessa campagna? Da quando scrive questo dominio sosia?
- Alimentare un SIEM. Uno strumento di monitoraggio della sicurezza incrocia le decisioni del filtro con gli accessi, le postazioni e la rete.
Log di filtraggio. La traccia delle decisioni del filtro: data, dominio mittente, punteggio, motivo, decisione. Non è una copia della posta. La conservazione dei messaggi stessi spetta al servizio di posta e, se necessario, a un’archiviazione legale.
Che cosa contiene una decisione
In Klytic MTA ogni decisione è spiegata. Il punteggio e il motivo compaiono nelle intestazioni del messaggio consegnato, con nomi propri di Klytic: X-KlyticMTA-Status per la decisione, X-KlyticMTA-Score per il punteggio, X-KlyticMTA-Reason per il motivo. Un amministratore può quindi leggere, sul messaggio stesso, perché è stato consegnato. Ciò vale per entrambe le offerte.
L’offerta Advanced aggiunge log presentati come conformi ai framework CIS e NIST, esportabili verso il suo SIEM. La differenza tra le due offerte è quindi netta:
- Essential: la decisione è spiegata, messaggio per messaggio, nelle intestazioni.
- Advanced: le decisioni formano inoltre un log che può inviare al suo strumento, per conservarlo e incrociarlo con altre fonti.
La lettura quotidiana di queste decisioni è descritta in Leggere ed esportare una decisione del filtro.
Due orologi da non confondere
L’orologio tecnico del filtro
È noto e fissato dal prodotto. Per Klytic MTA:
| Dato | Durata |
|---|
| Mittente, destinatari, oggetto, corpo, nomi degli allegati, dopo una consegna normale | Eliminati dopo 2 giorni per impostazione predefinita; termine regolabile |
| Marca temporale, dominio mittente, punteggi, decisione, metadati dell’analisi | Conservati dopo l’eliminazione |
| Messaggio pericoloso in quarantena | Completo e cifrato per la durata di validità del link di rilascio, 7 giorni |
| Messaggio in coda (server delle caselle non raggiungibile) | Cifrato fino alla consegna o alla scadenza del termine |
Conseguenza pratica: un mese dopo i fatti, il filtro sa che un messaggio di un determinato dominio è stato messo in quarantena, con quale punteggio e quale motivo. Non sa più chi l’ha inviato a chi, né che cosa diceva. Se un controllo cerca il contenuto, è nella casella o nell’archivio che bisogna cercarlo.
Attenzione a una confusione frequente: il backup di 30 giorni indicato per le caselle di Klytic Mail riguarda le caselle, non i log del gateway. Sono due servizi e due durate.
L’orologio scelto dall’azienda
Dipende dalla finalità. Nessun testo fissa una durata unica per un log di filtraggio della posta elettronica. Il quadro è quello del GDPR: si conserva per il tempo giustificato dalla finalità, e lo si documenta.
Un riferimento utile: per la registrazione degli accessi e delle operazioni su un trattamento di dati personali, la CNIL (l’autorità francese per la protezione dei dati) raccomanda una durata compresa tra sei mesi e un anno, oltre in alcuni casi giustificati. Questa raccomandazione non è prescrittiva e riguarda innanzitutto i log di accesso, non un log di filtraggio. Ricorda anche che i log non dovrebbero conservare dati oltre la durata prevista per i dati stessi.
In pratica, la durata lunga si applica all’esportazione, nel suo SIEM: è lì che lei stabilisce conservazione, accesso e cancellazione. Il filtro, invece, conserva poco.
Esempio: tre mesi dopo un tentativo di frode
Caso ipotetico. A gennaio, diversi dipendenti di un’azienda ricevono un falso messaggio del loro dirigente. Ad aprile, l’assicuratore chiede che cosa sia successo. Che cosa si può mostrare?
- Nel filtro: la data, il dominio sosia che ha scritto, il punteggio, il motivo (dominio sosia, usurpazione del nome visualizzato) e la decisione di quarantena per ogni messaggio. Non più gli indirizzi dei destinatari né il testo, eliminati da tempo.
- Nel SIEM, se l’azienda ha l’offerta Advanced e conserva l’esportazione più a lungo: lo stesso log, con ciò che la policy aziendale ha scelto di conservare, incrociato con gli accessi dell’epoca.
- Nelle caselle: nulla, perché i messaggi sono stati fermati prima.
La prova si basa quindi sulla decisione, non sul contenuto. Se l’azienda vuole conservare di più, è una decisione da prendere prima dell’incidente, stabilendo la conservazione dell’esportazione.
Chi accede ai log
- L’amministratore di Klytic MTA legge le decisioni dei suoi domini e riceve l’esportazione verso il SIEM nell’offerta Advanced.
- L’utente vede la propria quarantena tramite il link che riceve, che abbia o meno una casella Klytic: veda Quarantena, falsi positivi e segnalazioni.
- Nel suo SIEM si applicano le sue regole di accesso: limiti la lettura alle persone incaricate della sicurezza.
Un log di sicurezza contiene esso stesso dati personali, se non altro domini e orari: va protetto ed eliminato come questi.
Buone pratiche
- Scrivere la finalità: diagnosi, prova, indagine, monitoraggio.
- Stabilire di conseguenza la durata dell’esportazione e riportarla nel registro dei trattamenti.
- Limitare l’accesso e tracciare la consultazione dei log stessi.
- Non trasformare il log in un archivio della posta: conservare i metadati, non i corpi dei messaggi.
- Testare una ricerca reale: ritrovare la decisione presa su un messaggio di tre mesi fa.
Le registrazioni telefoniche seguono un’altra logica e altre durate: veda per quanto tempo conservare le registrazioni.
Domande frequenti
È possibile ritrovare il contenuto di un messaggio filtrato un mese fa?
Non nel filtro, se è stato consegnato: il contenuto viene eliminato dopo il breve periodo. Lo cerchi nella casella o nell’archivio.
Per quanto tempo bisogna conservare i log?
In base alla finalità, da documentare. La raccomandazione della CNIL sulla registrazione dei log indica un ordine di grandezza da sei mesi a un anno.
L’esportazione verso un SIEM è inclusa in Essential?
No, fa parte di Advanced. Essential spiega ogni decisione nelle intestazioni.
Serve Klytic Mail per avere questi log?
No. Sono prodotti da Klytic MTA, qualunque sia il servizio di posta posto dietro.
Dove si colloca Klytic
Klytic MTA spiega ogni decisione con un punteggio e un motivo nelle intestazioni, sia in Essential sia in Advanced. Advanced aggiunge i log esportabili verso il suo SIEM e la console DMARC.
La retention tecnica è limitata: nessuna conservazione duratura del messaggio consegnato, eliminazione del dettaglio personale dell’analisi dopo 2 giorni per impostazione predefinita, messaggio pericoloso conservato cifrato per la durata del link di rilascio, coda cifrata. La conservazione a lungo termine, se ne ha bisogno, avviene nel suo strumento, a partire dall’esportazione.
Il servizio esiste senza Klytic Mail. Si implementa nel cloud Klytic, su un’istanza dedicata o sui suoi server.
Questa pagina descrive un quadro generale. La durata di conservazione applicabile alla sua organizzazione dipende dalle sue finalità e, se del caso, da obblighi di settore.
Quadro giuridico all’11 ottobre 2026. Nessun testo consultato fissa una durata di conservazione specifica per i log di filtraggio della posta elettronica. La raccomandazione della CNIL del 18 novembre 2021 sulla registrazione dei log non è prescrittiva.
Fonti
Consultate a ottobre 2026.
- CNIL, «La CNIL publie une recommandation relative aux mesures de journalisation» (La CNIL pubblica una raccomandazione sulle misure di registrazione dei log), 18 novembre 2021: durata di conservazione raccomandata da sei mesi a un anno per la registrazione degli accessi a un trattamento, estensioni possibili se giustificate, raccomandazione non prescrittiva. cnil.fr
- Klytic, pagina Klytic MTA: decisione spiegata nelle intestazioni (Essential e Advanced), log CIS / NIST esportabili verso un SIEM (Advanced), moduli delle offerte Essential e Advanced, opzioni, modalità di implementazione, attivazione tramite il record MX. klytic.com
