Do czego służy dziennik bezpieczeństwa poczty e-mail
- Zrozumienie decyzji. Klient skarży się, że wiadomość nigdy nie dotarła: dziennik mówi, czy została odrzucona, poddana kwarantannie czy dostarczona, i z jakiego powodu.
- Udowodnienie, że wiadomość została zatrzymana. Po próbie oszustwa firma może wykazać, że wiadomość została zablokowana, i wskazać, kiedy.
- Dochodzenie po incydencie. Kto w firmie otrzymał tę samą kampanię? Od kiedy pisze ta łudząco podobna domena?
- Zasilanie systemu SIEM. Narzędzie do monitorowania bezpieczeństwa zestawia decyzje filtra z logowaniami, stanowiskami i siecią.
Dziennik filtrowania. Ślad decyzji filtra: data, domena nadawcy, wynik, powód, decyzja. Nie jest to kopia korespondencji. Przechowywanie samych wiadomości należy do systemu pocztowego oraz, w razie potrzeby, do archiwizacji zgodnej z przepisami.
Co zawiera decyzja
W Klytic MTA każda decyzja jest uzasadniona. Wynik i powód znajdują się w nagłówkach dostarczonej wiadomości, pod nazwami właściwymi dla Klytic: X-KlyticMTA-Status dla decyzji, X-KlyticMTA-Score dla wyniku, X-KlyticMTA-Reason dla powodu. Administrator może więc odczytać bezpośrednio w wiadomości, dlaczego została dostarczona. Dotyczy to obu pakietów.
Pakiet Advanced dodaje dzienniki przedstawiane jako zgodne ze standardami CIS i NIST, które można eksportować do Państwa systemu SIEM. Różnica między pakietami jest więc wyraźna:
- Essential: decyzja jest uzasadniona, dla każdej wiadomości osobno, w nagłówkach.
- Advanced: decyzje tworzą dodatkowo dziennik, który mogą Państwo przesyłać do własnego narzędzia, aby go przechowywać i zestawiać z innymi źródłami.
Codzienny odczyt tych decyzji opisano w praktycznym przewodniku Odczyt i eksport decyzji filtra.
Dwa zegary, których nie należy mylić
Zegar techniczny filtra
Jest znany i określony przez produkt. W przypadku Klytic MTA:
| Dane | Okres |
|---|
| Nadawca, odbiorcy, temat, treść, nazwy załączników, po normalnym dostarczeniu | Usuwane domyślnie po 2 dniach; okres konfigurowalny |
| Znacznik czasu, domena nadawcy, wyniki, decyzja, metadane analizy | Zachowywane po usunięciu pozostałych danych |
| Niebezpieczna wiadomość w kwarantannie | Kompletna i zaszyfrowana przez okres ważności linku do zwolnienia, 7 dni |
| Wiadomość w kolejce (serwer skrzynek nieosiągalny) | Zaszyfrowana do chwili dostarczenia lub upływu terminu |
Praktyczna konsekwencja: miesiąc po zdarzeniu filtr wie, że wiadomość z określonej domeny została poddana kwarantannie, z jakim wynikiem i z jakiego powodu. Nie wie już, kto ją wysłał do kogo ani co zawierała. Jeśli kontrola szuka treści, należy jej szukać w skrzynce lub w archiwum.
Uwaga na częste nieporozumienie: 30-dniowa kopia zapasowa podawana dla skrzynek Klytic Mail dotyczy skrzynek, a nie dzienników bramki. To dwie usługi i dwa różne okresy.
Zegar wybrany przez firmę
Zależy od celu. Żaden przepis nie ustala jednego okresu przechowywania dziennika filtrowania poczty. Ramy wyznacza RODO: dane przechowuje się tak długo, jak uzasadnia to cel, i dokumentuje się to.
Przydatny punkt odniesienia: w przypadku rejestrowania dostępu i operacji w ramach przetwarzania danych osobowych francuski organ nadzorczy CNIL zaleca okres od sześciu miesięcy do roku, a w niektórych uzasadnionych przypadkach dłuższy. Zalecenie to nie ma charakteru wiążącego i dotyczy przede wszystkim dzienników dostępu, a nie dziennika filtrowania. Przypomina również, że dzienniki nie powinny przechowywać danych dłużej niż okres przewidziany dla samych danych.
W praktyce długi okres dotyczy eksportu, w Państwa systemie SIEM: to tam ustalają Państwo przechowywanie, dostęp i usuwanie. Sam filtr przechowuje niewiele.
Przykład: trzy miesiące po próbie oszustwa
Przypadek hipotetyczny. W styczniu kilku pracowników firmy otrzymuje fałszywą wiadomość od swojego prezesa. W kwietniu ubezpieczyciel pyta, co się stało. Co można pokazać?
- W filtrze: datę, łudząco podobną domenę, z której wysłano wiadomości, wynik, powód (domena łudząco podobna, podszywanie się pod nazwę wyświetlaną) i decyzję o kwarantannie dla każdej wiadomości. Ani adresów odbiorców, ani tekstu, które zostały dawno usunięte.
- W systemie SIEM, jeśli firma ma pakiet Advanced i przechowuje eksport dłużej: ten sam dziennik, z tym, co zgodnie z polityką firmy postanowiono zachować, zestawiony z ówczesnymi logowaniami.
- W skrzynkach: nic, ponieważ wiadomości zostały zatrzymane wcześniej.
Dowód opiera się więc na decyzji, a nie na treści. Jeśli firma chce przechowywać więcej, musi o tym zdecydować przed incydentem, ustalając okres przechowywania eksportu.
Kto ma dostęp do dzienników
- Administrator Klytic MTA odczytuje decyzje dotyczące swoich domen, a w pakiecie Advanced otrzymuje eksport do systemu SIEM.
- Użytkownik widzi własną kwarantannę dzięki otrzymywanemu linkowi, niezależnie od tego, czy ma skrzynkę Klytic: zob. Kwarantanna, fałszywe alarmy i zgłoszenia.
- W Państwa systemie SIEM obowiązują Państwa zasady dostępu: proszę ograniczyć odczyt do osób odpowiedzialnych za bezpieczeństwo.
Dziennik bezpieczeństwa sam zawiera dane osobowe, choćby domeny i godziny: chroni się go i usuwa tak jak te dane.
Dobre praktyki
- Spisać cel: diagnostyka, dowód, dochodzenie, monitorowanie.
- Odpowiednio do niego ustalić okres przechowywania eksportu i wpisać go do rejestru czynności przetwarzania.
- Ograniczyć dostęp i rejestrować przeglądanie samych dzienników.
- Nie zamieniać dziennika w archiwum korespondencji: przechowywać metadane, a nie treść wiadomości.
- Przetestować rzeczywiste wyszukiwanie: odnaleźć decyzję podjętą wobec wiadomości sprzed trzech miesięcy.
Nagrania rozmów telefonicznych podlegają innej logice i innym okresom przechowywania: zob. jak długo przechowywać nagrania rozmów.
Najczęściej zadawane pytania
Czy można odnaleźć treść wiadomości przefiltrowanej miesiąc temu?
Nie w filtrze, jeśli została dostarczona: treść jest usuwana po krótkim czasie. Należy jej szukać w skrzynce lub w archiwum.
Jak długo należy przechowywać dzienniki?
Zależnie od celu, który trzeba udokumentować. Zalecenie CNIL dotyczące rejestrowania zdarzeń podaje rząd wielkości od sześciu miesięcy do roku.
Czy eksport do systemu SIEM jest zawarty w pakiecie Essential?
Nie, jest częścią pakietu Advanced. Essential uzasadnia każdą decyzję w nagłówkach.
Czy do korzystania z tych dzienników potrzebny jest Klytic Mail?
Nie. Tworzy je Klytic MTA, niezależnie od systemu pocztowego, przed którym działa.
Gdzie plasuje się Klytic
Klytic MTA uzasadnia każdą decyzję wynikiem i powodem w nagłówkach, zarówno w pakiecie Essential, jak i Advanced. Advanced dodaje dzienniki, które można eksportować do Państwa systemu SIEM, oraz konsolę DMARC.
Retencja techniczna jest ograniczona: brak trwałego przechowywania dostarczonej wiadomości, usuwanie szczegółowych danych osobowych z analizy domyślnie po 2 dniach, niebezpieczna wiadomość przechowywana w postaci zaszyfrowanej przez okres ważności linku do zwolnienia, zaszyfrowana kolejka. Długoterminowe przechowywanie, jeśli jest Państwu potrzebne, odbywa się w Państwa narzędziu, na podstawie eksportu.
Usługa jest dostępna bez Klytic Mail. Można ją wdrożyć w chmurze Klytic, na instancji dedykowanej lub na Państwa serwerach.
Ta strona opisuje ogólne ramy. Okres przechowywania obowiązujący w Państwa organizacji zależy od celów przetwarzania oraz, w stosownych przypadkach, od obowiązków branżowych.
Stan prawny na 11 października 2026 r. Żaden z przeanalizowanych przepisów nie ustala okresu przechowywania właściwego dla dzienników filtrowania poczty. Zalecenie CNIL z 18 listopada 2021 r. dotyczące rejestrowania zdarzeń nie ma charakteru wiążącego.
Źródła
Stan na październik 2026.
- CNIL, „La CNIL publie une recommandation relative aux mesures de journalisation” (CNIL publikuje zalecenie dotyczące środków rejestrowania zdarzeń), 18 listopada 2021 r.: zalecany okres przechowywania od sześciu miesięcy do roku dla rejestrowania dostępu do przetwarzania, możliwe wydłużenie, jeśli jest uzasadnione, zalecenie bez charakteru wiążącego. cnil.fr
- Klytic, strona Klytic MTA: decyzja uzasadniona w nagłówkach (Essential i Advanced), dzienniki CIS / NIST z możliwością eksportu do SIEM (Advanced), moduły pakietów Essential i Advanced, opcje, tryby wdrożenia, uruchomienie przez zmianę rekordu MX. klytic.com
