Conceito e funcionamento
A retenção deve considerar finalidade, volumetria, custo, criticidade, obrigações e minimização de dados. Manter logs indefinidamente não é prática automaticamente segura. Defina formatos, rotação, cópias, imutabilidade quando pertinente, permissões e trilha de consultas administrativas. Preserve timestamps originais e identificação de fonte.
Como investigar e correlacionar
Teste consultas em períodos recentes e históricos de laboratório, compare metadados e verifique expurgo conforme política. Faça medição de tempo de ingestão e de registros faltantes. Documente quem pode alterar pipeline, excluir eventos, administrar índices e acessar dados entre clientes.
ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Uma investigação de autenticação retroativa falha porque os logs do endpoint foram rotacionados antes do início do caso.
Procedimento orientado
Compare retenção local e central, política de acesso, tempos de ingestão e possibilidade de recuperação de backups autorizados.
Resultado esperado
O relatório registra período não coberto, fontes alternativas e ação para evitar repetição do ponto cego.
Cuidados adicionais
Manter dados indefinidamente pode violar política de privacidade e não resolve problema de integridade.
Limitações e interpretações incorretas
Criptografia não substitui segregação por cliente ou acesso mínimo. Logs podem conter tokens, URLs sensíveis e dados pessoais; não exporte para exemplos públicos sem sanitização. Relatórios devem registrar lacunas de retenção.
Checklist de validação
- Definir janela e justificativa
- Testar recuperação histórica
- Revisar controle de acesso
- Auditar descarte e alteração
Referências técnicas
Guias para aprofundar
- jornada do log ate alerta — aguardando publicação editorial
- preservacao evidencias timeline — aguardando publicação editorial