Waarvoor een logbestand van e-mailbeveiliging dient
- Een beslissing begrijpen. Een klant klaagt dat een bericht nooit is aangekomen: het log zegt of het is geweigerd, in quarantaine geplaatst of afgeleverd, en om welke reden.
- Bewijzen dat een bericht is tegengehouden. Na een fraudepoging kan het bedrijf aantonen dat het bericht is geblokkeerd en op welk moment.
- Onderzoek na een incident. Wie in het bedrijf heeft dezelfde campagne ontvangen? Sinds wanneer schrijft dit lookalike-domein?
- Een SIEM voeden. Een tool voor beveiligingsmonitoring legt de beslissingen van de filter naast de aanmeldingen, de werkstations en het netwerk.
Filterlog. Het spoor van de beslissingen van de filter: datum, afzenderdomein, score, reden, beslissing. Het is geen kopie van de post. De berichten zelf bewaren is een zaak van de e-mailomgeving en, indien nodig, van wettelijke archivering.
Wat een beslissing bevat
In Klytic MTA wordt elke beslissing uitgelegd. De score en de reden staan in de headers van het afgeleverde bericht, onder namen die eigen zijn aan Klytic: X-KlyticMTA-Status voor de beslissing, X-KlyticMTA-Score voor de score, X-KlyticMTA-Reason voor de reden. Een beheerder kan dus op het bericht zelf lezen waarom het is afgeleverd. Dat geldt in beide formules.
De formule Advanced voegt logbestanden toe die worden voorgesteld als conform de referentiekaders CIS en NIST, exporteerbaar naar uw SIEM. Het verschil tussen beide formules is dus duidelijk:
- Essential: de beslissing wordt per bericht uitgelegd in de headers.
- Advanced: de beslissingen vormen bovendien een log dat u naar uw eigen tool kunt sturen, om het te bewaren en naast andere bronnen te leggen.
Het dagelijks lezen van deze beslissingen wordt beschreven in Een beslissing van de filter lezen en exporteren.
Twee klokken die u niet mag verwarren
De technische klok van de filter
Die is bekend en door het product vastgelegd. Voor Klytic MTA:
| Gegeven | Duur |
|---|
| Afzender, ontvangers, onderwerp, inhoud, namen van bijlagen, na een normale aflevering | Standaard na 2 dagen gewist; termijn instelbaar |
| Tijdstempel, afzenderdomein, scores, beslissing, analysemetadata | Bewaard na het wissen |
| Gevaarlijk bericht in quarantaine | Volledig en versleuteld zolang de vrijgavelink geldig is, 7 dagen |
| Bericht in de wachtrij (mailboxserver onbereikbaar) | Versleuteld tot de aflevering of het verstrijken van de termijn |
Praktisch gevolg: een maand na de feiten weet de filter dat een bericht van een bepaald domein in quarantaine is geplaatst, met welke score en welke reden. Hij weet niet meer wie het naar wie heeft gestuurd, noch wat erin stond. Als een controle de inhoud zoekt, moet die in de mailbox of in het archief worden gezocht.
Let op een vaak voorkomende verwarring: de back-up van 30 dagen die voor de mailboxen van Klytic Mail wordt aangekondigd, betreft de mailboxen, niet de logbestanden van de gateway. Het zijn twee diensten en twee termijnen.
De klok die het bedrijf kiest
Die hangt af van het doel. Geen enkele tekst legt een vaste termijn op voor een filterlog van e-mail. Het kader is dat van de AVG: u bewaart zo lang als het doel rechtvaardigt, en u documenteert het.
Een nuttig referentiepunt: voor het loggen van toegang tot en bewerkingen op een verwerking van persoonsgegevens beveelt de CNIL een termijn tussen zes maanden en een jaar aan, langer in bepaalde gerechtvaardigde gevallen. Deze aanbeveling is niet bindend, en ze betreft in de eerste plaats toegangslogs, geen filterlog. Ze herinnert er ook aan dat logbestanden geen gegevens zouden mogen bewaren langer dan de termijn die voor de gegevens zelf is bepaald.
In de praktijk geldt de lange termijn voor de export, in uw SIEM: daar legt u de bewaring, de toegang en de verwijdering vast. De filter zelf bewaart weinig.
Voorbeeld: drie maanden na een fraudepoging
Fictief geval. In januari ontvangen meerdere medewerkers van een bedrijf een vals bericht van hun bestuurder. In april vraagt de verzekeraar wat er is gebeurd. Wat kan het bedrijf tonen?
- In de filter: de datum, het lookalike-domein dat heeft geschreven, de score, de reden (lookalike-domein, misbruik van de weergavenaam) en de quarantainebeslissing voor elk bericht. Niet meer de adressen van de ontvangers of de tekst, die al lang zijn gewist.
- In de SIEM, als het bedrijf de formule Advanced heeft en de export langer bewaart: hetzelfde log, met wat het beleid van het bedrijf heeft gekozen te bewaren, naast de aanmeldingen van die periode gelegd.
- In de mailboxen: niets, aangezien de berichten vooraf zijn tegengehouden.
Het bewijs berust dus op de beslissing, niet op de inhoud. Als het bedrijf meer wil bewaren, is dat een beslissing die vóór het incident moet worden genomen, door de bewaring van de export vast te leggen.
Wie heeft toegang tot de logbestanden
- De beheerder van Klytic MTA leest de beslissingen van zijn domeinen, en ontvangt de export naar de SIEM in de formule Advanced.
- De gebruiker ziet zijn eigen quarantaine, via de link die hij ontvangt, of hij nu een Klytic-mailbox heeft of niet: zie Quarantaine, valspositieven en meldingen.
- In uw SIEM gelden uw eigen toegangsregels: beperk het lezen tot de personen die met de beveiliging zijn belast.
Een beveiligingslog bevat zelf persoonsgegevens, al was het maar domeinen en tijdstippen: het wordt op dezelfde manier beschermd en gewist.
Goede praktijken
- Het doel op schrift zetten: diagnose, bewijs, onderzoek, monitoring.
- De termijn van de export daarop afstemmen, en die in het register van verwerkingsactiviteiten opnemen.
- De toegang beperken en de raadpleging van de logbestanden zelf vastleggen.
- Het log niet tot een archief van de post maken: de metadata bewaren, niet de inhoud van berichten.
- Een echte zoekopdracht testen: de beslissing terugvinden over een bericht van drie maanden geleden.
Telefoonopnames volgen een andere logica en andere termijnen: zie hoe lang u opnames bewaart.
Veelgestelde vragen
Kunt u de inhoud terugvinden van een bericht dat een maand geleden is gefilterd?
Niet in de filter, als het is afgeleverd: de inhoud wordt na de korte termijn gewist. Zoek het in de mailbox of in het archief.
Hoe lang moet u de logbestanden bewaren?
Naargelang het doel, dat u documenteert. De aanbeveling van de CNIL over logging geeft een orde van grootte van zes maanden tot een jaar.
Is de export naar een SIEM inbegrepen in Essential?
Nee, die maakt deel uit van Advanced. Essential legt elke beslissing uit in de headers.
Hebt u Klytic Mail nodig voor deze logbestanden?
Nee. Ze worden geproduceerd door Klytic MTA, ongeacht de e-mailomgeving erachter.
Waar Klytic staat
Klytic MTA legt elke beslissing uit met een score en een reden in de headers, zowel in Essential als in Advanced. Advanced voegt de logbestanden toe die naar uw SIEM kunnen worden geëxporteerd, en de DMARC-console.
De technische retentie is beperkt: geen duurzame bewaring van het afgeleverde bericht, wissen van de persoonlijke analysedetails na standaard 2 dagen, een gevaarlijk bericht versleuteld bewaard zolang de vrijgavelink geldig is, versleutelde wachtrij. Langdurige bewaring, als u die nodig hebt, gebeurt in uw eigen tool, op basis van de export.
De dienst bestaat zonder Klytic Mail. Hij wordt geïmplementeerd in de Klytic-cloud, op een dedicated instantie of op uw servers.
Deze pagina beschrijft een algemeen kader. De bewaartermijn die voor uw organisatie geldt, hangt af van uw doeleinden en, in voorkomend geval, van sectorale verplichtingen.
Juridische stand van zaken op 11 oktober 2026. Geen enkele geraadpleegde tekst legt een specifieke bewaartermijn vast voor filterlogs van e-mail. De aanbeveling van de CNIL van 18 november 2021 over logging is niet bindend.
Bronnen
Geraadpleegd in oktober 2026.
- CNIL, “La CNIL publie une recommandation relative aux mesures de journalisation” (De CNIL publiceert een aanbeveling over loggingmaatregelen) (18 november 2021): aanbevolen bewaartermijn van zes maanden tot een jaar voor het loggen van toegang tot een verwerking, verlenging mogelijk indien gerechtvaardigd, niet-bindende aanbeveling. cnil.fr
- Klytic, pagina Klytic MTA: beslissing uitgelegd in de headers (Essential en Advanced), logbestanden CIS / NIST exporteerbaar naar een SIEM (Advanced), modules van de formules Essential en Advanced, opties, implementatievormen, ingebruikname via het MX-record. klytic.com
