Säkerhetsloggning och logganalys
En administrativ inloggning, en filöverföring, ett databasanrop, radering av ett dokument, trafikdata från ett nätverk eller en aktivitet i skyddet mot skadlig kod är exempel på händelser som kan och bör samlas in och registreras i loggar för att upprätthålla en god it-säkerhet.
Varför behövs säkerhetsloggning?
Loggning är en teknisk funktion, som innebär att händelse- och behandlingshistorik sparas under en viss tid. Loggningen sker automatiskt i systemen och ska vara skyddad mot obehörig åtkomst och förändring. Att logga händelser är ofta en lämplig säkerhetsåtgärd som fyller flera funktioner och är viktigt för all spårbarhet, till exempel för att kunna
- identifiera angrepp mot system och information vid en incident
- upptäcka felaktig eller obehörig åtkomst av information
- driva informationssystem effektivt.
I vissa fall krävs loggning för att uppfylla regulatoriska krav.
Hur ni ska arbeta med loggning och logganalys
Nedan är några exempel på vad som kan förväntas av er verksamhet när ni implementerar säkerhetsloggning och logganalys. Sammantaget ska allt detta beaktas vid val av lösning för logginsamling och analys i förhållande till verksamhetens behov, riskanalyser och kontinuitetsplan.
- Riktlinjer och styrdokument
Upprätta grundläggande riktlinjer och styrdokument som beskriver syftet med säkerhetsloggningen samt vilka system och enheter som behöver loggas och i vilken utsträckning, då loggning ofta innebär en behandling av personuppgifter. Loggarna behöver då utformas och hanteras med respekt för fri- och rättigheterna för dem som registreras i dem. - Insamling och hantering av loggar
Bestäm i vilka format som loggarna ska samlas. Analysera behovet av och balansen mellan detaljrikedom, uppgiftsminimering, trafikmängd och loggarnas lagringstid. Loggning medför också en viss prestandapåverkan på system och nätverk. - Lagring av loggar
Säkerheten kring lagringsplats, loggarnas tillgänglighet, den informationsmängd de utgör, möjligheterna till gallring och lagringskostnader är faktorer som behöver beaktas vid lagring av loggar. - Logganalys
Det kan vara lämpligt att det finns system där uppföljning av loggarna kan ske, tillsammans med tydliga rutiner för hur och när en logganalys ska genomföras. Analysen är avgörande för att kunna upptäcka oönskade händelser och prestandaförändringar, men också för att verksamheten snabbt ska kunna sätta in åtgärder vid behov. - Behörighetsstyrning
Bedöm behovet av att skydda loggarna mot obehörig åtkomst och förändring utifrån den information som behandlas i de loggade systemen. Endast behörig personal ska normalt sett kunna ta del av dem. Det kan vara en lämplig åtgärd att även administration och händelser som rör loggarna loggas.