Journaux et preuves d’incident : conserver ce qui répond à un besoin défini
Distinguez journaux opérationnels, extraits d’enquête et rapports pour définir une conservation justifiée, des accès maîtrisés et une sortie vérifiable.
Périmètre des intégrations : Seculogik utilise une architecture indépendante des sources pour ingérer les alertes et événements de sécurité via son propre modèle de données. Wazuh et OpenSearch sont les premières intégrations. Les autres sources citées correspondent à des connecteurs prévus ; leur disponibilité doit être confirmée pour chaque évaluation.
Une enquête peut produire plusieurs copies d’une même information : journal dans la plateforme, export local, pièce jointe à un ticket et extrait dans un rapport.
Pour maîtriser ces données, il faut examiner leur usage et leur cycle de vie au-delà du stockage principal.
Le fait documenté : la CNIL a publié une recommandation relative à la journalisation en octobre 2021. Elle aborde notamment les informations enregistrées et leur conservation.
Le présent article propose une démarche opérationnelle ; il ne détermine aucune durée obligatoire pour votre organisation. Source : CNIL
Distinguer les catégories de données
Notre recommandation : séparer les logs utilisés pour la surveillance courante, les éléments sélectionnés pour une investigation et les documents de synthèse. Ces catégories répondent à des besoins différents, même lorsqu’elles proviennent du même événement.
Pour chacune, décrivez la finalité, le propriétaire, les personnes autorisées et le lieu de stockage. Identifiez les informations réellement nécessaires.
Un rapport destiné à expliquer une décision peut parfois éviter de reprendre des détails individuels ou des contenus techniques sans utilité pour son lecteur.
Justifier les durées et les exceptions
Définissez les durées avec les responsables compétents en fonction des besoins d’investigation, des engagements applicables et des contraintes de protection des données. Ne transformez pas une recommandation générale en règle universelle sans examiner votre situation.
Prévoyez un processus distinct lorsqu’un incident nécessite de préserver certains éléments au-delà du fonctionnement habituel. Cette exception doit avoir un motif, un responsable et un point de réexamen.
Elle ne devrait pas entraîner par défaut la conservation indéfinie de toutes les données disponibles.
Réduire les copies difficiles à suivre
Privilégiez les liens vers les emplacements autorisés lorsque cela répond au besoin. Lorsqu’un export est nécessaire, documentez sa destination et ses conditions d’accès. Évitez que le dossier d’incident dépende d’un fichier conservé uniquement sur le poste d’un intervenant.
Vérifiez également le traitement des sauvegardes et des espaces annexes avec les équipes concernées. Une politique affichée dans l’outil principal ne décrit pas forcément le comportement de chaque copie.
Les écarts doivent être connus, puis corrigés ou encadrés selon le contexte.
Pour préparer une discussion avec Seculogik, prenez un dossier d’incident représentatif et retracez ses données de bout en bout. Cet exercice aide à repérer les copies inutiles et les responsabilités manquantes.
Toute conclusion juridique ou obligation spécifique doit rester soumise à l’examen des spécialistes compétents.