Resposta direta
O prazo de retenção decorre do uso do registro, não do custo de armazenamento. Separe os logs por classe: os que sustentam investigação, os que respondem a auditoria e os que servem apenas de métrica. Cada classe recebe prazo próprio, aprovado por responsável nomeado, e um processo de descarte programado com registro do que saiu e quando. Quando há investigação aberta, o descarte é suspenso e a suspensão fica documentada. O resultado é um ciclo previsível de guarda e expurgo, em vez de acúmulo indefinido. Definir prazo não garante que o log contenha o dado que a investigação vai precisar.
- Objetivo
- Organizar um processo
- Formato indicado
- Workshop executivo
- Atualizado em
O que esta página acrescenta: Trata retenção como decisão de uso e descarte verificável, com suspensão registrada, e não como ajuste de armazenamento.
O uso do registro define o prazo
Retenção sem critério costuma nascer de um log que ninguém decidiu guardar e que depois passou a ocupar espaço por inércia. O ponto de partida é o uso previsto: registrar o que responde a um incidente operacional, o que sustenta auditoria e o que serve de métrica. São usos distintos e não precisam do mesmo prazo.
A classificação vem antes do número. Agrupar por origem, conteúdo e finalidade permite tratar blocos separados, em vez de aplicar um prazo único a toda a operação. Cada bloco tem um responsável que aprova o prazo e responde por ele quando a decisão é questionada.
Expurgo como rotina verificável
Descarte é rotina, não decisão pontual. Um processo de expurgo programado, com registro do que saiu e da data, evita acúmulo silencioso e mostra que o prazo aprovado é de fato aplicado. Sem esse registro, o prazo existe apenas no documento.
Três papéis precisam estar nomeados: quem aprova o prazo, quem executa o descarte e quem suspende o expurgo quando há investigação aberta. A suspensão é registrada com data, motivo e responsável, e só é encerrada quando a apuração termina.
O que o prazo não resolve nem garante
Definir prazo não corrige falha de coleta nem garante que o registro contenha o que a investigação vai precisar. Se o log nasce incompleto, guardá-lo por mais tempo apenas prolonga um dado que não responde à pergunta feita.
Prazo curto reduz exposição e custo, mas limita a reconstrução de eventos antigos. Prazo longo preserva histórico e amplia o que pode ser exposto em uma falha. Não existe escolha sem troca: o prazo é decisão de risco, revista quando a operação ou a exigência de auditoria muda.
Recurso prático
Volume retido e custo anual por classe de log
Volume retido = eventos por dia x tamanho médio do evento x dias de retenção ; Custo anual de retenção = (volume retido / fator de compressão) x custo por GB x 12
- eventos_por_dia
- eventos/dia
- contagem de registros gerados pelas automações em janela representativa
- tamanho_medio_evento
- KB/evento
- tamanho do registro após serialização, medido na origem
- dias_retencao
- dias
- prazo aprovado para a classe de log analisada
- fator_compressao
- razão
- relação entre o volume bruto e o volume efetivamente armazenado
- custo_por_gb
- moeda/GB/mês
- custo da camada de armazenamento em que a classe é mantida
O erro mais comum é fixar um prazo único para todas as automações e não registrar a suspensão de descarte quando uma investigação começa. Sem esse registro, o expurgo apaga a evidência e não sobra rastro de que o prazo foi aplicado nem de quem o suspendeu.
Conceitos usados nesta página
- Trilha de auditoria — Trilha de auditoria é o conjunto de registros que permite reconstruir quem fez o quê, quando e com qual dado — inclusive depois que o resultado já foi usado.
Sobre o que está escrito aqui
Conceitos relacionados: classe de log · prazo de retenção · expurgo programado · suspensão de descarte · trilha de auditoria. Exemplos são ilustrativos. Não há cliente, resultado, preço, prazo ou certificação nesta página. Quando o formato indicado é Workshop executivo, ele descreve uma possibilidade de trabalho — a conversa inicial avalia contexto e aderência.
Para continuar
- Governança e controle de automação — Página central do tema
- Credenciais em automação: como medir a exposição — credenciais expostas
- Credenciais expostas: o que avaliar antes de… — credenciais expostas
Páginas relacionadas
O mesmo problema em outro objetivo
- Log sem retenção definida: o que apurar antes de decidir — Diagnosticar
- Log sem retenção definida: o que medir primeiro — Explicar medição
- Log sem retenção definida: como definir prazo e descarte — Orientar implementação
- Log sem retenção definida: o que decidir na contratação — Orientar avaliação e contratação
Outras leituras em Governança e controle de automação
- Retenção de log indefinida: como comparar as opções — Compara opções de retenção de log por prazo, camada de guarda, custo de recuperação e responsável, com os limites de cada escolha.
- Ausência de registros: o que implementar primeiro — Define onde o registro passa a existir, quem responde pela captura e o que fazer com o período anterior sem histórico.
- Registro sem data confiável: como comparar alternativas — Compara três desenhos de registro de execução quando a data não é confiável: encadeamento por identificador, hora aproximada e fonte externa de tempo.
- Segregação de função ausente: o que cada alternativa cobre — Compara alternativas para segregação de função ausente na automação: o que cada uma exige em processo, evidência e responsabilidade.
- Ordem de execução sem data confiável: o que se pode provar — Avaliação de registro de execução quando a data não é confiável: o que ainda sustenta ordem, autoria e sequência, e o que fica em aberto.