La ce folosește un jurnal de securitate a e-mailurilor
- Înțelegerea unei decizii. Un client se plânge că un mesaj nu a sosit niciodată: jurnalul spune dacă a fost respins, pus în carantină sau livrat și din ce motiv.
- Dovedirea faptului că un mesaj a fost oprit. După o tentativă de fraudă, compania poate arăta că mesajul a fost blocat și în ce moment.
- Investigarea după un incident. Cine din companie a primit aceeași campanie? De când scrie acest domeniu-clonă?
- Alimentarea unui SIEM. Un instrument de supraveghere a securității corelează deciziile filtrului cu conexiunile, stațiile de lucru și rețeaua.
Jurnal de filtrare. Urma deciziilor filtrului: data, domeniul expeditor, scorul, motivul, decizia. Nu este o copie a e-mailurilor. Păstrarea mesajelor înseși ține de serviciul de e-mail și, dacă este necesar, de o arhivare legală.
Ce conține o decizie
În Klytic MTA, fiecare decizie este explicată. Scorul și motivul figurează în antetele mesajului livrat, sub denumiri proprii Klytic: X-KlyticMTA-Status pentru decizie, X-KlyticMTA-Score pentru scor, X-KlyticMTA-Reason pentru motiv. Un administrator poate așadar citi, chiar pe mesaj, de ce a fost livrat. Acest lucru este valabil în ambele oferte.
Oferta Advanced adaugă jurnale prezentate ca fiind conforme cu referențialele CIS și NIST, exportabile către SIEM-ul dumneavoastră. Diferența dintre cele două oferte este deci clară:
- Essential: decizia este explicată, mesaj cu mesaj, în antete.
- Advanced: deciziile formează în plus un jurnal pe care îl puteți trimite în propriul instrument, pentru a-l păstra și a-l corela cu alte surse.
Citirea zilnică a acestor decizii este descrisă în Citirea și exportul unei decizii a filtrului.
Două ceasuri care nu trebuie confundate
Ceasul tehnic al filtrului
Este cunoscut și stabilit de produs. Pentru Klytic MTA:
| Date | Durată |
|---|
| Expeditor, destinatari, subiect, corp, numele atașamentelor, după o livrare normală | Șterse după 2 zile, implicit; termen configurabil |
| Marcaj temporal, domeniul expeditor, scoruri, decizie, metadate de analiză | Păstrate după ștergere |
| Mesaj periculos aflat în carantină | Complet și criptat pe durata valabilității linkului de eliberare, 7 zile |
| Mesaj în coada de așteptare (server de căsuțe indisponibil) | Criptat până la livrare sau până la expirarea termenului |
Consecință practică: la o lună după fapte, filtrul știe că un mesaj de la un anumit domeniu a fost pus în carantină, cu ce scor și cu ce motiv. Nu mai știe cine l-a trimis cui, nici ce spunea. Dacă un control caută conținutul, acesta trebuie căutat în căsuță sau în arhivă.
Atenție la o confuzie frecventă: backupul de 30 de zile anunțat pentru căsuțele Klytic Mail privește căsuțele, nu jurnalele porții. Sunt două servicii și două durate.
Ceasul ales de companie
Depinde de scop. Niciun text nu stabilește o durată unică pentru un jurnal de filtrare a e-mailurilor. Cadrul este cel al GDPR: datele se păstrează atât timp cât o justifică scopul, iar acest lucru se documentează.
Un reper util: pentru jurnalizarea acceselor și a operațiunilor efectuate asupra unei prelucrări de date cu caracter personal, CNIL recomandă o durată cuprinsă între șase luni și un an, mai mult în anumite cazuri justificate. Această recomandare nu este prescriptivă și vizează în primul rând jurnalele de acces, nu un jurnal de filtrare. Ea amintește și că jurnalele nu ar trebui să păstreze date dincolo de durata prevăzută pentru datele înseși.
În practică, durata lungă se aplică exportului, în SIEM-ul dumneavoastră: acolo stabiliți păstrarea, accesul și ștergerea. Filtrul, în schimb, păstrează puțin.
Exemplu: la trei luni după o tentativă de fraudă
Caz ipotetic. În ianuarie, mai mulți angajați ai unei companii primesc un mesaj fals de la directorul lor. În aprilie, asigurătorul întreabă ce s-a întâmplat. Ce se poate arăta?
- În filtru: data, domeniul-clonă care a scris, scorul, motivul (domeniu-clonă, uzurparea numelui afișat) și decizia de carantină pentru fiecare mesaj. Nu și adresele destinatarilor sau textul, șterse de mult.
- În SIEM, dacă compania are oferta Advanced și păstrează exportul mai mult timp: același jurnal, cu ceea ce politica companiei a ales să păstreze, corelat cu conexiunile din acea perioadă.
- În căsuțe: nimic, deoarece mesajele au fost oprite înainte.
Dovada se bazează așadar pe decizie, nu pe conținut. Dacă firma dorește să păstreze mai mult, aceasta este o decizie care trebuie luată înainte de incident, prin stabilirea duratei de păstrare a exportului.
Cine are acces la jurnale
- Administratorul Klytic MTA citește deciziile pentru domeniile sale și primește exportul către SIEM în oferta Advanced.
- Utilizatorul își vede propria carantină, prin linkul pe care îl primește, fie că are o căsuță Klytic sau nu: vedeți Carantină, rezultate fals pozitive și semnalări.
- În SIEM-ul dumneavoastră se aplică propriile reguli de acces: limitați citirea la persoanele responsabile cu securitatea.
Un jurnal de securitate conține el însuși date cu caracter personal, fie și numai domenii și ore: se protejează și se șterge la fel ca acestea.
Bune practici
- Scrieți scopul: diagnostic, probă, investigație, supraveghere.
- Stabiliți durata exportului în consecință și înscrieți-o în registrul prelucrărilor.
- Restricționați accesul și țineți evidența consultării jurnalelor înseși.
- Nu transformați jurnalul într-o arhivă a e-mailurilor: păstrați metadatele, nu corpurile mesajelor.
- Testați o căutare reală: regăsiți decizia luată asupra unui mesaj de acum trei luni.
Înregistrările telefonice urmează o altă logică și alte durate: vedeți cât timp se păstrează înregistrările.
Întrebări frecvente
Se poate regăsi conținutul unui mesaj filtrat acum o lună?
Nu în filtru, dacă a fost livrat: conținutul este șters după termenul scurt. Căutați-l în căsuță sau în arhivă.
Cât timp trebuie păstrate jurnalele?
În funcție de scop, care trebuie documentat. Recomandarea CNIL privind jurnalizarea oferă un ordin de mărime de șase luni până la un an.
Este exportul către un SIEM inclus în Essential?
Nu, face parte din Advanced. Essential explică fiecare decizie în antete.
Este necesar Klytic Mail pentru a avea aceste jurnale?
Nu. Ele sunt produse de Klytic MTA, indiferent de serviciul de e-mail aflat în spate.
Unde se situează Klytic
Klytic MTA explică fiecare decizie printr-un scor și un motiv în antete, atât în Essential, cât și în Advanced. Advanced adaugă jurnalele exportabile către SIEM-ul dumneavoastră și consola DMARC.
Retenția tehnică este limitată: nicio păstrare de durată a mesajului livrat, ștergerea detaliilor personale ale analizei după 2 zile, implicit, mesaj periculos păstrat criptat pe durata linkului de eliberare, coadă de așteptare criptată. Păstrarea pe termen lung, dacă aveți nevoie de ea, se face în instrumentul dumneavoastră, pe baza exportului.
Serviciul există fără Klytic Mail. Se implementează în cloudul Klytic, pe o instanță dedicată sau pe serverele dumneavoastră.
Această pagină descrie un cadru general. Durata de păstrare aplicabilă organizației dumneavoastră depinde de scopurile dumneavoastră și, după caz, de obligații sectoriale.
Situația juridică la 11 octombrie 2026. Niciun text consultat nu stabilește o durată de păstrare specifică jurnalelor de filtrare a e-mailurilor. Recomandarea CNIL din 18 noiembrie 2021 privind jurnalizarea nu este prescriptivă.
Surse
Consultate în octombrie 2026.
- CNIL, „La CNIL publie une recommandation relative aux mesures de journalisation” (CNIL publică o recomandare privind măsurile de jurnalizare), 18 noiembrie 2021: durata de păstrare recomandată de șase luni până la un an pentru jurnalizarea acceselor la o prelucrare, prelungiri posibile dacă sunt justificate, recomandare neprescriptivă. cnil.fr
- Klytic, pagina Klytic MTA: decizie explicată în antete (Essential și Advanced), jurnale CIS / NIST exportabile către un SIEM (Advanced), modulele ofertelor Essential și Advanced, opțiuni, moduri de implementare, punere în funcțiune prin MX. klytic.com
