#матчасть #лучшиепрактики

Вопрос: сколько времени нужно хранить собранную ИБ системами (DLP, SIEM, SOAR) информацию?
Ответ: рекомендую хранить за последние полгода.

Больше чем полгода - не имеет смысла, потому что уже истечёт срок давности расследования инцидента в организации и подачи обращения в УБК или участковому. Да и актуальность на таком длинном периоде уже совсем растворится в нашей динамичное время.

Меньше чем 3 месяца тоже хранить не нужно, потому что инциденты обнаруживаются не моментально, расследуются не быстро (сбор комиссии может занять месяц  ). Поэтому меньше три месяца - это гигиенический минимум.

Получается хранение в интервале 3-6 месяцев в зависимости от объёма данных и стоимости ваших накопителей.

Естественно, если есть какие-то требования по компании или ЛНА от руководства - следуем им. Есть примеры когда компании хранят абсолютно все данные.