Čemu služi varnostni dnevnik e-pošte
- Razumeti odločitev. Stranka se pritožuje, da sporočilo ni nikoli prispelo: dnevnik pove, ali je bilo zavrnjeno, dano v karanteno ali dostavljeno in iz kakšnega razloga.
- Dokazati, da je bilo sporočilo ustavljeno. Po poskusu prevare lahko podjetje pokaže, da je bilo sporočilo blokirano in kdaj.
- Preiskava po incidentu. Kdo v podjetju je prejel isto kampanjo? Od kdaj piše ta podobna domena?
- Napajanje SIEM. Orodje za nadzor varnosti povezuje odločitve filtra s prijavami, delovnimi postajami in omrežjem.
Dnevnik filtriranja. Sled odločitev filtra: datum, domena pošiljatelja, ocena, razlog, odločitev. To ni kopija pošte. Hramba samih sporočil sodi k e-poštnemu sistemu in po potrebi k zakonskemu arhiviranju.
Kaj vsebuje odločitev
V Klytic MTA je vsaka odločitev pojasnjena. Ocena in razlog sta v glavah dostavljenega sporočila, pod imeni, značilnimi za Klytic: X-KlyticMTA-Status za odločitev, X-KlyticMTA-Score za oceno, X-KlyticMTA-Reason za razlog. Skrbnik lahko torej na samem sporočilu prebere, zakaj je bilo dostavljeno. To velja v obeh paketih.
Paket Advanced doda dnevnike, predstavljene kot skladne s standardoma CIS in NIST, ki jih je mogoče izvoziti v vaš SIEM. Razlika med paketoma je torej jasna:
- Essential: odločitev je pojasnjena, za vsako sporočilo posebej, v glavah.
- Advanced: odločitve poleg tega tvorijo dnevnik, ki ga lahko pošljete v lastno orodje, da ga hranite in povezujete z drugimi viri.
Vsakodnevno branje teh odločitev je opisano v Branje in izvoz odločitve filtra.
Dve uri, ki ju ne smemo zamenjati
Tehnična ura filtra
Znana je in jo določa izdelek. Za Klytic MTA:
| Podatek | Trajanje |
|---|
| Pošiljatelj, prejemniki, zadeva, telo, imena priponk, po običajni dostavi | Izbrisani privzeto po 2 dneh; rok je nastavljiv |
| Časovni žig, domena pošiljatelja, ocene, odločitev, metapodatki analize | Ohranjeni po izbrisu |
| Nevarno sporočilo v karanteni | Celotno in šifrirano v času veljavnosti povezave za sprostitev, 7 dni |
| Sporočilo v čakalni vrsti (strežnik nabiralnikov nedosegljiv) | Šifrirano do dostave ali izteka roka |
Praktična posledica: mesec dni po dogodku filter ve, da je bilo sporočilo določene domene dano v karanteno, s kakšno oceno in iz kakšnega razloga. Ne ve pa več, kdo ga je poslal komu, niti kaj je pisalo v njem. Če pregled išče vsebino, jo je treba iskati v nabiralniku ali arhivu.
Pozor na pogosto zamenjavo: 30-dnevno varnostno kopiranje, napovedano za nabiralnike Klytic Mail, se nanaša na nabiralnike, ne na dnevnike prehoda. To sta dve storitvi in dva roka.
Ura, ki jo izbere podjetje
Odvisna je od namena. Noben predpis ne določa enotnega roka za dnevnik filtriranja e-pošte. Okvir je GDPR: podatke hranimo toliko časa, kolikor to upravičuje namen, in to dokumentiramo.
Koristno izhodišče: za beleženje dostopov in operacij pri obdelavi osebnih podatkov CNIL priporoča rok med šestimi meseci in enim letom, v nekaterih upravičenih primerih tudi dlje. To priporočilo ni zavezujoče in se nanaša predvsem na dnevnike dostopov, ne na dnevnik filtriranja. Opozarja tudi, da dnevniki ne bi smeli hraniti podatkov dlje od roka, predvidenega za same podatke.
V praksi se dolg rok uporablja za izvoz, v vašem SIEM: tam določite hrambo, dostop in izbris. Filter sam hrani malo.
Primer: tri mesece po poskusu prevare
Hipotetičen primer. Januarja več zaposlenih v podjetju prejme lažno sporočilo svojega direktorja. Aprila zavarovalnica vpraša, kaj se je zgodilo. Kaj lahko pokažemo?
- V filtru: datum, podobno domeno, ki je pisala, oceno, razlog (podobna domena, zloraba prikaznega imena) in odločitev o karanteni za vsako sporočilo. Naslovov prejemnikov in besedila ni več, izbrisani so že zdavnaj.
- V SIEM, če ima podjetje paket Advanced in izvoz hrani dlje: isti dnevnik, s tem, kar je politika podjetja izbrala za hrambo, povezan s prijavami iz tistega časa.
- V nabiralnikih: nič, ker so bila sporočila ustavljena prej.
Dokaz torej temelji na odločitvi, ne na vsebini. Če želi podjetje hraniti več, mora to odločiti pred incidentom, z določitvijo hrambe izvoza.
Kdo dostopa do dnevnikov
- Skrbnik Klytic MTA bere odločitve za svoje domene in v paketu Advanced prejema izvoz v SIEM.
- Uporabnik vidi svojo karanteno prek povezave, ki jo prejme, ne glede na to, ali ima nabiralnik Klytic ali ne: glejte Karantena, lažni pozitivni rezultati in prijave.
- V vašem SIEM veljajo vaša pravila dostopa: branje omejite na osebe, odgovorne za varnost.
Varnostni dnevnik sam vsebuje osebne podatke, če ne drugega domene in čase: ščiti in briše se enako kot ti podatki.
Dobre prakse
- Zapišite namen: diagnostika, dokaz, preiskava, nadzor.
- Rok hrambe izvoza določite skladno s tem in ga vpišite v evidenco dejavnosti obdelave.
- Omejite dostop in beležite tudi vpogled v same dnevnike.
- Dnevnika ne spremenite v arhiv pošte: hranite metapodatke, ne teles sporočil.
- Preizkusite resnično iskanje: poiščite odločitev o sporočilu izpred treh mesecev.
Za telefonske posnetke veljajo druga logika in drugi roki: glejte Kako dolgo hraniti telefonske posnetke.
Pogosta vprašanja
Ali lahko najdemo vsebino sporočila, filtriranega pred mesecem dni?
V filtru ne, če je bilo dostavljeno: vsebina se po kratkem roku izbriše. Poiščite jo v nabiralniku ali arhivu.
Kako dolgo je treba hraniti dnevnike?
Glede na namen, ki ga je treba dokumentirati. Priporočilo CNIL o beleženju daje velikostni red od šestih mesecev do enega leta.
Ali je izvoz v SIEM vključen v Essential?
Ne, del je paketa Advanced. Essential vsako odločitev pojasni v glavah.
Ali za te dnevnike potrebujemo Klytic Mail?
Ne. Ustvarja jih Klytic MTA, ne glede na e-poštni sistem za njim.
Kje je Klytic
Klytic MTA vsako odločitev pojasni z oceno in razlogom v glavah, tako v paketu Essential kot v Advanced. Advanced doda dnevnike, izvozljive v vaš SIEM, in konzolo DMARC.
Tehnična hramba je omejena: brez trajne hrambe dostavljenega sporočila, izbris osebnih podrobnosti analize privzeto po 2 dneh, nevarno sporočilo se hrani šifrirano v času veljavnosti povezave za sprostitev, šifrirana čakalna vrsta. Dolgoročna hramba, če jo potrebujete, poteka v vašem orodju, na podlagi izvoza.
Storitev obstaja tudi brez Klytic Mail. Namešča se v oblaku Klytic, na namenski instanci ali na vaših strežnikih.
Ta stran opisuje splošen okvir. Rok hrambe, ki velja za vašo organizacijo, je odvisen od vaših namenov in po potrebi od panožnih obveznosti.
Pravno stanje na dan 11. oktobra 2026. Noben pregledan predpis ne določa posebnega roka hrambe za dnevnike filtriranja e-pošte. Priporočilo CNIL z dne 18. novembra 2021 o beleženju ni zavezujoče.
Viri
Pregledano oktobra 2026.
- CNIL, »La CNIL publie une recommandation relative aux mesures de journalisation« (18. november 2021): priporočen rok hrambe od šestih mesecev do enega leta za beleženje dostopov do obdelave, možno podaljšanje, če je upravičeno, priporočilo ni zavezujoče. cnil.fr
- Klytic, stran Klytic MTA: odločitev, pojasnjena v glavah (Essential in Advanced), dnevniki CIS / NIST, izvozljivi v SIEM (Advanced), moduli paketov Essential in Advanced, dodatne možnosti, načini namestitve, vzpostavitev prek zapisa MX. klytic.com
