Confronto dei requisiti su logging e conservazione dei log

Il logging di audit è quasi universale: dieci degli undici framework che mappiamo lo richiedono (il Regolamento generale sulla protezione dei dati (GDPR) è l'eccezione, e anche lì i log sono lo strumento con cui si indaga su una violazione). Ciò che richiedono differisce in due aspetti: cosa registrare e per quanto tempo conservarlo. Il secondo è il punto in cui i team si bloccano più spesso, perché solo pochi framework indicano un numero.

Chi richiede cosa

Framework	Logging e audit	Collegamento
NIST CSF 2.0	PR.PS-04DE.AE-03	Definizione dell'argomento
ISO 27001	A.8.15A.8.17	Crosswalk
CIS v8.1	CIS 8.2CIS 8.10CIS 3.14CIS 8.1CIS 8.3CIS 8.4CIS 8.5CIS 8.7CIS 8.8CIS 8.12	Crosswalk
SOC 2	CC7.2	Redazione
PCI DSS	10.2.110.3.210.5.110.6.1	Crosswalk
CMMC	AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7	Crosswalk
800-53	AU-2AU-3AU-11AU-12	Crosswalk
HIPAA	§164.312(b)	Crosswalk
GDPR	—	Nessuna mappatura nei nostri dati
NIS2	3.2	Crosswalk
Essential Eight	ISM-1815ISM-1660ISM-1509ISM-1683ISM-1623	Redazione

Dettaglio completo e motivazione di ogni collegamento: Logging e audit nei framework →

Cosa registrare

I framework più specifici elencano gli eventi. PCI DSS richiede che i log catturino l'accesso individuale degli utenti ai dati dei titolari di carta, tutte le azioni amministrative, l'accesso agli stessi log, i tentativi di accesso non validi, le modifiche alle credenziali di identificazione e autenticazione, l'avvio e l'arresto della registrazione, e la creazione ed eliminazione di oggetti a livello di sistema (da 10.2.1.1 a 10.2.1.7), ciascuno con utente, tipo, orario, esito e origine (10.2.2). I CIS Controls aggiungono log dettagliati su DNS, URL e riga di comando (da 8.5 a 8.8). SP 800-53 e CMMC richiedono di definire gli eventi che si registrano (AU-2; AU.L2-3.3.1). ISO 27001 (A.8.15) e SOC 2 (CC7.2) richiedono una registrazione adeguata ai propri rischi.

Per quanto tempo conservare i log

Framework	Conservazione
PCI DSS	Almeno 12 mesi, con gli ultimi tre mesi immediatamente disponibili (10.5.1)
CIS Controls	Almeno 90 giorni (8.10)
SP 800-53	Un periodo definito dall'organizzazione (AU-11)
CMMC Level 2	Per il tempo necessario a monitorare, analizzare, indagare e riferire (AU.L2-3.3.1)
ISO 27001, SOC 2	Non specificato; stabilito dalla valutazione dei rischi e dagli obblighi di legge
HIPAA	Non specificato per i log (la regola dei sei anni riguarda la documentazione)

Scegliere un periodo di conservazione

Se PCI DSS si applica a una parte del vostro ambiente, 12 mesi con tre mesi immediatamente disponibili è la base di partenza ovvia, e soddisfa agevolmente il minimo dei CIS. Per tutti gli altri è anch'essa un default ragionevole: abbastanza lungo per indagare su incidenti scoperti mesi dopo, cosa che accade spesso, e abbastanza breve da restare sostenibile in termini di costi di storage. Adeguatelo alle leggi e ai contratti del vostro settore, e registrate la decisione con la sua motivazione, che è ciò che cercheranno gli auditor ISO e SOC 2.

Cosa conservare, non solo per quanto tempo

I periodi di conservazione si applicano ai log rilevanti per le indagini. Una suddivisione pratica in livelli:

• Log rilevanti per la sicurezza (autenticazione, azioni privilegiate, eventi di firewall ed EDR, accesso a dati sensibili): il periodo di conservazione completo, protetti da modifiche.
• Log operativi (output di debug delle applicazioni, metriche di prestazioni): conservazione più breve, definita dalle esigenze dell'ingegneria.
• Log contenenti dati personali: abbastanza a lungo per la sicurezza, ma non più del necessario, così da rispettare il principio di limitazione della conservazione del GDPR.

Riportate i livelli nella policy di logging, così la decisione sulla conservazione è visibile e difendibile.

Punti chiave

• Dieci degli undici framework richiedono il logging di audit.
• Solo PCI DSS e CIS fissano periodi di conservazione.
• Dodici mesi, con tre immediatamente disponibili, sono un default sicuro.
• Proteggete i log da manomissioni e verificate gli eventi di sicurezza; PCI DSS richiede una verifica giornaliera.

Oltre la conservazione

• Proteggere i log da manomissioni (PCI 10.3.2, CMMC AU.L2-3.3.8): storage write-once oppure una piattaforma centralizzata di log con accesso limitato.
• Sincronizzare gli orologi (PCI 10.6.1, CIS 8.4, CMMC AU.L2-3.3.7), altrimenti la correlazione degli eventi tra sistemi non funziona.
• Verificarli: PCI richiede la revisione giornaliera degli eventi di sicurezza (10.4.1); la maggior parte degli altri framework si aspetta una revisione regolare, di norma automatizzata.

La pagina dell'argomento Logging & Audit elenca ogni requisito con la sua fonte, e l'argomento correlato SIEM / SOC copre l'analisi. La Gap analysis confronta due framework qualsiasi in modo completo.

Domande

Per quanto tempo PCI DSS richiede la conservazione dei log?

Almeno 12 mesi di storico dei log di audit, con i tre mesi più recenti immediatamente disponibili per l'analisi (10.5.1).

HIPAA prevede un periodo di conservazione dei log?

No. La Security Rule richiede controlli di audit (§164.312(b)) ma non stabilisce alcun periodo di conservazione dei log. Il suo requisito di conservazione di sei anni si applica alla documentazione richiesta, come le policy, non ai log di audit.