Vad en säkerhetslogg för e-post används till
- Förstå ett beslut. En kund klagar på att ett meddelande aldrig kom fram: loggen visar om det avvisades, sattes i karantän eller levererades, och av vilket skäl.
- Bevisa att ett meddelande stoppades. Efter ett bedrägeriförsök kan företaget visa att meddelandet blockerades och när.
- Utreda efter en incident. Vilka i företaget fick samma kampanj? Sedan när skriver den här förväxlingsbara domänen?
- Mata ett SIEM. Ett verktyg för säkerhetsövervakning korrelerar filtrets beslut med inloggningar, datorer och nätverk.
Filtreringslogg. Spåret av filtrets beslut: datum, avsändardomän, poäng, skäl, beslut. Det är inte en kopia av e-posten. Att spara själva meddelandena hör till e-postsystemet och, vid behov, till en lagstadgad arkivering.
Vad ett beslut innehåller
I Klytic MTA förklaras varje beslut. Poängen och skälet finns i huvudena på det levererade meddelandet, under namn som är specifika för Klytic: X-KlyticMTA-Status för beslutet, X-KlyticMTA-Score för poängen, X-KlyticMTA-Reason för skälet. En administratör kan alltså läsa, på själva meddelandet, varför det levererades. Det gäller i båda paketen.
Paketet Advanced lägger till loggar som presenteras som förenliga med ramverken CIS och NIST, och som kan exporteras till ert SIEM. Skillnaden mellan paketen är alltså tydlig:
- Essential: beslutet förklaras, meddelande för meddelande, i huvudena.
- Advanced: besluten bildar dessutom en logg som ni kan skicka till ert eget verktyg, för att spara den och korrelera den med andra källor.
Hur besluten läses i vardagen beskrivs i Läsa och exportera ett filterbeslut.
Två klockor som inte ska förväxlas
Filtrets tekniska klocka
Den är känd och bestämd av produkten. För Klytic MTA:
| Data | Tid |
|---|
| Avsändare, mottagare, ämne, brödtext, bilagornas namn, efter en normal leverans | Rensas efter 2 dagar som standard; tiden kan ställas in |
| Tidsstämpel, avsändardomän, poäng, beslut, analysmetadata | Sparas efter rensningen |
| Farligt meddelande i karantän | Komplett och krypterat så länge länken för att släppa det är giltig, 7 dagar |
| Meddelande i kö (brevlådeservern kan inte nås) | Krypterat tills det levereras eller tidsgränsen löper ut |
Praktisk följd: en månad efter händelsen vet filtret att ett meddelande från en viss domän sattes i karantän, med vilken poäng och vilket skäl. Det vet inte längre vem som skickade det till vem, eller vad det sa. Om en granskning söker innehållet är det i brevlådan eller arkivet man ska leta.
Se upp för en vanlig förväxling: säkerhetskopieringen i 30 dagar som anges för brevlådorna i Klytic Mail gäller brevlådorna, inte gatewayens loggar. Det är två tjänster och två tider.
Klockan som företaget väljer
Den beror på ändamålet. Ingen författning anger en enda lagringstid för en filtreringslogg för e-post. Ramen är GDPR: man sparar så länge ändamålet motiverar det, och man dokumenterar det.
En användbar riktpunkt: för loggning av åtkomster och åtgärder i en behandling av personuppgifter rekommenderar den franska dataskyddsmyndigheten CNIL en tid på mellan sex månader och ett år, längre i vissa motiverade fall. Rekommendationen är inte bindande, och den gäller främst åtkomstloggar, inte en filtreringslogg. Den påminner också om att loggar inte bör spara data längre än den tid som gäller för själva uppgifterna.
I praktiken gäller den längre lagringstiden exporten, i ert SIEM: det är där ni bestämmer lagring, åtkomst och radering. Filtret sparar lite.
Exempel: tre månader efter ett bedrägeriförsök
Ett hypotetiskt fall. I januari får flera anställda i ett företag ett falskt meddelande från sin vd. I april frågar försäkringsbolaget vad som hände. Vad kan man visa?
- I filtret: datumet, den förväxlingsbara domän som skrev, poängen, skälet (förväxlingsbar domän, förfalskat visningsnamn) och karantänbeslutet för varje meddelande. Inte längre mottagarnas adresser eller texten, som rensades för länge sedan.
- I SIEM-systemet, om företaget har paketet Advanced och sparar exporten längre: samma logg, med det som företagets policy har valt att spara, korrelerad med inloggningarna från samma tid.
- I brevlådorna: ingenting, eftersom meddelandena stoppades innan.
Beviset vilar alltså på beslutet, inte på innehållet. Om företaget vill spara mer är det ett beslut som ska fattas före incidenten, genom att bestämma lagringstiden för exporten.
Vem har åtkomst till loggarna
- Administratören för Klytic MTA läser besluten för sina domäner, och tar emot exporten till SIEM i paketet Advanced.
- Användaren ser sin egen karantän via länken hen får, oavsett om hen har en brevlåda hos Klytic eller inte: se Karantän, falska positiva och rapporter.
- I ert SIEM är det era åtkomstregler som gäller: begränsa läsrätten till de personer som ansvarar för säkerheten.
En säkerhetslogg innehåller själv personuppgifter, om så bara domäner och tidpunkter: den ska skyddas och rensas på samma sätt.
God praxis
- Skriv ner ändamålet: felsökning, bevis, utredning, övervakning.
- Bestäm exportens lagringstid utifrån det, och för in den i registret över behandlingar.
- Begränsa åtkomsten och logga själva läsningen av loggarna.
- Gör inte loggen till ett e-postarkiv: spara metadata, inte meddelandetexter.
- Testa en verklig sökning: hitta beslutet om ett meddelande från för tre månader sedan.
Samtalsinspelningar följer en annan logik och andra tider: se hur länge samtalsinspelningar ska sparas.
Vanliga frågor
Kan man hitta innehållet i ett meddelande som filtrerades för en månad sedan?
Inte i filtret, om det levererades: innehållet rensas efter den korta tiden. Sök i brevlådan eller arkivet.
Hur länge ska loggarna sparas?
Beroende på ändamålet, som ska dokumenteras. CNIL:s rekommendation om loggning anger en storleksordning på sex månader till ett år.
Ingår export till ett SIEM i Essential?
Nej, den ingår i Advanced. Essential förklarar varje beslut i huvudena.
Behövs Klytic Mail för att få dessa loggar?
Nej. De skapas av Klytic MTA, oavsett vilket e-postsystem som ligger bakom.
Var Klytic står
Klytic MTA förklarar varje beslut med en poäng och ett skäl i huvudena, i Essential såväl som i Advanced. Advanced lägger till loggar som kan exporteras till ert SIEM och DMARC-konsolen.
Den tekniska lagringen är begränsad: ingen varaktig lagring av det levererade meddelandet, rensning av personliga analysdetaljer efter 2 dagar som standard, farliga meddelanden sparas krypterade så länge länken för att släppa dem gäller, krypterad kö. Långtidslagring, om ni behöver den, sker i ert verktyg, utifrån exporten.
Tjänsten finns utan Klytic Mail. Den driftas i Klytics moln, på en dedikerad instans eller på era servrar.
Den här sidan beskriver en allmän ram. Den lagringstid som gäller för er organisation beror på era ändamål och i förekommande fall på branschspecifika skyldigheter.
Juridiskt läge per den 11 oktober 2026. Ingen av de lästa författningarna anger en särskild lagringstid för filtreringsloggar för e-post. CNIL:s rekommendation av den 18 november 2021 om loggning är inte bindande.
Källor
Hämtade i oktober 2026.
- CNIL, ”La CNIL publie une recommandation relative aux mesures de journalisation” (18 november 2021): rekommenderad lagringstid på sex månader till ett år för loggning av åtkomster till en behandling, möjliga förlängningar om de är motiverade, icke bindande rekommendation. cnil.fr
- Klytic, sidan Klytic MTA: beslut som förklaras i huvudena (Essential och Advanced), CIS-/NIST-loggar som kan exporteras till ett SIEM (Advanced), moduler i paketen Essential och Advanced, tillägg, driftformer, driftstart via MX. klytic.com
