Conserver chaque rapport d'authentification pour toujours n'est pas une politique de conservation. Données agrégées brutes, spécifiques au message rapports d'échec et les notes d’enquête répondent à des objectifs différents et comportent des risques différents. Un plan de rétention utile explique pourquoi chaque cours est conservé, combien de temps il reste utile et ce qui se passe à la fin de cette période.
DMARCLes spécifications de reporting de décrivent le contenu du rapport, les considérations en matière de confidentialité et de sécurité. Ils n’établissent pas de durée de conservation légale universelle pour chaque organisation. Le flux de travail ci-dessous est une conception opérationnelle à examiner avec les personnes responsables de la confidentialité, de la sécurité et des obligations légales applicables.
Inventorier les classes d'enregistrement réelles
Références : RFC 9990 §7.1, RFC 9990 §7.2, RFC 9991 §2, RFC 9991 §7.1.
Séparer les matières premières rapports agrégés, enregistrements analysés, mesures résumées, rapports d'échec, échantillons de messages contrôlés et conclusions d'incident. Identifiez à qui appartient chaque magasin et chaque copie en aval : boîte aux lettres, file d'attente d'analyseur, système d'analyse, ticket, exportation et sauvegarde des analystes.
Les rapports agrégés standard excluent le contenu des messages individuels et les informations d'identification de l'utilisateur final sous RFC 9990 §7.2, mais les métadonnées du trafic peuvent toujours exposer des modèles opérationnels sous RFC 9990 §7.1. Ne considérez pas un magasin agrégé comme exempté de l’examen d’accès et de rétention. Les rapports agrégés incluent des informations sur l'infrastructure et le trafic qui peuvent néanmoins nécessiter un traitement approprié. Les rapports de panne méritent une attention particulière car ils peuvent contenir en-têtes de messages, corps et identifiants. Classez en fonction du contenu réel et possible plutôt que de l'extension de fichier ou de l'étiquette du tableau de bord.
Fixez un objectif et une horloge pour chaque cours
Indiquez pourquoi l'enregistrement est conservé : dépannage d'ingestion, comparaison saisonnière, enquête spécifique ou obligation applicable. Définissez le moment où le délai de conservation commence, par exemple lors de la réception d'un rapport ou de la clôture d'un incident, et à qui appartiennent les exceptions. Évitez les instructions ambiguës telles que conserver pendant un certain temps après utilisation.
Choisissez des durées en fonction des besoins et des obligations documentés, et non d'un nombre copié à partir d'une liste de contrôle de sécurité générique. Une longue comparaison saisonnière peut être servie par des métriques minimisées de manière appropriée tandis que le contenu brut des messages est conservé pour un besoin de diagnostic beaucoup plus court. Vérifiez que le résumé conserve le contexte nécessaire pour interpréter les modifications de couverture et de configuration.
Travailler sur une conception de rétention
Conception illustrative : les rapports agrégés bruts prennent en charge le dépannage de l'analyseur ; les décomptes dérivés prennent en charge une analyse des tendances à plus long terme ; les rapports spécifiques aux messages prennent en charge une enquête limitée dans le temps ; une conclusion d'incident expurgée préserve la cause et les mesures correctives. Chaque classe a sa propre durée approuvée, son événement de début, son propriétaire et sa propre méthode de suppression.
L’exemple n’attribue intentionnellement pas de décompte de jours universel. Les obligations et les systèmes d'une organisation les déterminent. Si un incident nécessite une exception, enregistrez la raison, la portée, l'approbateur et la date de révision. Conservez les preuves pertinentes sous une forme de conservation valide plutôt que de permettre leur suppression normale pour les détruire, tout en évitant une conservation illimitée des données non liées.
Calculer une ligne de registre synthétique
La ligne suivante utilise des approbations hypothétiques arbitraires uniquement pour démontrer les mécanismes de rétention. Sa durée de sept jours ne constitue pas une recommandation, un minimum légal ou une affirmation concernant la politique actuelle d'une organisation. Chaque horodatage est UTC.
- Champ de registre : classe d'enregistrement et identifiant ; Valeur hypothétique : appareil de rapport d'échec brut RET-TEST-01 ne contenant aucune donnée de message réelle
- Champ d'enregistrement : Système et propriétaire responsable ; Valeur hypothétique : magasin de rapports de test isolé ; propriétaire des opérations de rapport
- Champ d'enregistrement : Objectif ; Valeur hypothétique : Vérifiez la gestion par l'analyseur de test du luminaire inoffensif
- Champ d'enregistrement : Démarrage de l'horloge ; Valeur hypothétique : Réception au 2026-11-01T10:00:00Z
- Champ d'enregistrement : Durée hypothétique approuvée ; Valeur hypothétique : sept jours de 24 heures écoulés à compter de la réception
- Champ d'enregistrement : expiration calculée ; Valeur hypothétique : 2026-11-08T10:00:00Z
- Champ de registre : Objectifs d'élimination ; Valeur hypothétique : objet luminaire actif, copie du contenu du message analysée et copie temporaire du texte en clair
- Champ de registre : Décision d'exception ; Valeur hypothétique : aucune retenue dans le cas de base ; une conservation approuvée séparément peut suspendre la destruction de ce document spécifique
- Champ d'enregistrement : Traitement de sauvegarde ; Valeur hypothétique : une sauvegarde de test suit son expiration distincte documentée ; les enregistrements restaurés sont vérifiés par rapport à leur expiration d'origine et sont conservés avant un accès ordinaire
Pour le cas non tenu, la vérification proposée au 2026-11-08T09:59:59Z devrait trouver le luminaire retenu ; le chèque à l'expiration devrait le trouver éligible à la cession. Exécutez le nettoyage et vérifiez que les cibles de suppression actives répertoriées sont supprimées, en ne conservant qu'un événement de suppression minimal approuvé. L'éligibilité à l'expiration et la suppression réussie sont des faits distincts : une tâche infructueuse laisse un enregistrement en retard et nécessite un propriétaire, et non une fausse entrée de suppression.
Pour un cas retenu, supposez qu’un test en attente étendu est approuvé à 2026-11-07T12:00:00Z. Le contrôle d'expiration doit conserver le dossier détenu dans un stockage contrôlé et identifier la référence de la conservation. Si la retenue est levée à 2026-11-10T10:00:00Z, l'expiration initiale est déjà passée ; le dossier doit entrer dans le processus d'élimination approuvé plutôt que de recevoir automatiquement une nouvelle période de sept jours.
Pour un test de restauration, restaurez une sauvegarde contenant RET-TEST-01 le 2026-11-09T10:00:00Z. Sans conservation active, empêchez le retour de l'enregistrement expiré à l'accès ordinaire et appliquez le processus de suppression approuvé. Avec une conservation étendue active, conservez-la uniquement dans le workflow de conservation contrôlée. Il s'agit de résultats proposés et non de tests système terminés ; le calcul d'horodatage hors ligne vérifie uniquement l'arithmétique.
Faire en sorte que l'expiration fonctionne sur plusieurs copies
Testez si la suppression de l'application principale supprime également les exportations, les aperçus mis en cache, les fichiers d'analyseur temporaires et les pièces jointes aux tickets. Les sauvegardes peuvent suivre un calendrier d'expiration différent ; documentez-le et contrôlez l’accès au lieu de réclamer un effacement immédiat là où ce n’est pas techniquement vrai.
Planifiez la façon dont les sauvegardes restaurées sont gérées afin que le matériel expiré ne soit pas réintroduit silencieusement dans une utilisation courante. Déterminez si les sous-traitants contractuels peuvent appliquer le calendrier approuvé et fournir des preuves significatives. Une déclaration de conservation est incomplète si l'organisation ne peut pas identifier le système qui effectue la suppression.
Préserver les preuves utiles sans contenu excessif
Références : RFC 9991 §7.
Avant de supprimer un rapport de diagnostic, déterminez si un enregistrement réduit approuvé doit conserver l'identité, l'heure, la condition de défaillance, l'action corrective et le résultat de la vérification pertinents. Supprimez le contenu des messages, les destinataires et les secrets inutiles du récit conservé. Vérifiez l’extrait plutôt que de supposer qu’une rédaction automatisée est terminée.
Utilisez un accès contrôlé pendant que les enregistrements sont conservés. Une courte durée de vie ne rend pas acceptable un stockage non protégé, et le chiffrement n’élimine pas la nécessité de supprimer les données qui ne sont plus nécessaires.
Revoir la politique à mesure que les systèmes changent
Revoyez le calendrier après avoir ajouté un processeur de reporting, modifié les intégrations d'exportation ou découvert que les enregistrements contiennent un contenu plus sensible que prévu. Conservez un enregistrement test du comportement d'expiration et des exceptions, y compris ce qui ne peut pas encore être supprimé comme prévu.
Le livrable final est un petit registre de conservation avec la classe d'enregistrement, l'objectif, le système, le propriétaire, l'horloge, la durée approuvée, le processus d'exception et le comportement d'élimination vérifié. Il doit décrire ce que fait réellement l’organisation, avec les lacunes non résolues à corriger.
Conserver l’illustration dans sa preuve
Le calcul UTC local confirme que sept jours se sont écoulés entre le 2026-11-01T10:00:00Z et le 2026-11-08T10:00:00Z. Les horodatages de publication et de restauration sont postérieurs à cette expiration initiale ; ils ne le redémarrent pas. Seule l'arithmétique était exécutée. Aucun test de suppression, de conservation légale, de restauration de sauvegarde ou de suppression du système n'a été effectué.