Log saklama süresi planlaması, toplanan günlüklerin ne kadar süre, nerede ve ne kadar hızlı erişilebilir biçimde tutulacağına dair kararların bütünüdür. Bu karar üç baskı arasında sıkışır: soruşturmalar için günlüğe ihtiyaç duyulan süre, yasa ve standartların dayattığı asgari saklama zorunlulukları ve depolamanın getirdiği maliyet. İyi bir plan bu üçünü açık gerekçelerle dengeler.

Saklama planlaması, bir günlüğün ne zaman delil, ne zaman yük olduğunu güvenlik, uyum ve maliyet ekseninde tanımlayan karardır.

Neden Sadece Maliyet Değil?

Saklama süresini yalnızca depolama faturasına bakarak kısaltmak tehlikelidir; çünkü saldırıların önemli bir kısmı ancak aylar sonra fark edilir. Bir saldırganın ağa girişiyle olayın anlaşılması arasındaki süre çoğu vakada haftaları, kimi zaman yüz günü aşar. Günlükler bu süreden kısa tutulursa, olay anlaşıldığında saldırının başlangıcına ait kayıtlar çoktan silinmiş olur ve kök neden asla bulunamaz.

Öte yandan her şeyi sonsuza kadar sıcak depoda tutmak da sürdürülebilir değildir. Çözüm genellikle kademeli saklamadır: son birkaç aylık veri hızlı sorgulanabilen sıcak katmanda, daha eski veri ise düşük maliyetli soğuk arşivde tutulur. Böylece güncel soruşturmalar hızlı yürürken, uzun vadeli kayıtlar da makul maliyetle korunur.

Uyum ve Yasal Gereklilikler

Birçok sektör düzenlemesi ve standardı asgari saklama süreleri dayatır; ödeme kartı, finans ve kişisel veri mevzuatları bunun tipik örnekleridir. Bu süreler bir taban oluşturur, tavan değil. Kurum, uyum için gereken asgari süreyi karşılamakla yükümlüdür ama güvenlik ihtiyacı çoğu zaman bu tabanın üzerinde bir saklamayı gerektirir. Plan, iki gereksinimden yüksek olanı esas almalıdır.

Bu kademeli yapının pratikte işlemesi, sağlam bir log yönetimi altyapısına bağlıdır; verinin katmanlar arasında taşınması, arşivlenmesi ve gerektiğinde geri çağrılması otomatik ve denetlenebilir olmalıdır. Saklama politikası çoğunlukla bir SIEM platformunun veri yönetimi ayarlarıyla uygulanır; sıcak ve soğuk katman geçişleri buradan tanımlanır.

Soruşturmaya Etkisi

Saklama süresi, bir soruşturmanın ne kadar geriye bakabileceğini doğrudan sınırlar. Olay müdahale ekibi ancak elde saklanmış günlük varsa saldırının zaman çizgisini kurabilir; kayıt yoksa analiz tahminlere dayanır. Bu yüzden saklama planı yalnızca bir depolama kararı değil, olay analizi kapasitesini belirleyen bir güvenlik kararıdır.

Doğru planlama, kurumun ne kritik kayıtları erken silmesine ne de gereksiz veriyi pahalıya biriktirmesine izin verir. Bu dengeyi kurmak, tehdit modeli, mevzuat haritası ve bütçenin birlikte değerlendirilmesini gerektirir. Privia Security’nin SOC olgunlaştırma hizmeti, saklama politikasının güvenlik ihtiyacı ve uyum yükümlülükleriyle hizalanmasını kapsayan çalışmalar içerir.