Guide för GDPR- och säkerhetsansvariga: När säkerhetsloggarna avslöjar mer än själva incidenten

Säkerhetsloggar är avgörande när organisationer ska upptäcka, utreda och hantera incidenter, men de kan samtidigt innehålla betydligt mer information än vad som krävs för själva analysen. IP-adresser, användaridentiteter, tidsstämplar, åtkomsthistorik och tekniska detaljer kan tillsammans skapa en detaljerad bild av människors beteenden och arbetsmönster. För GDPR- och säkerhetsansvariga innebär detta en balans mellan behovet av spårbarhet och kraven på dataskydd, proportionalitet och informationssäkerhet. När en logggranskning påbörjas efter en incident blir det därför viktigt att förstå vilken information som faktiskt samlas in, hur länge den sparas och vilka risker som uppstår när säkerhetsdata avslöjar mer än nödvändigt.

När säkerhetsloggar blir personuppgifter

Säkerhetsloggar har en central funktion i det systematiska säkerhetsarbetet. De gör det möjligt att följa händelser, upptäcka avvikelser och fastställa vad som har inträffat vid en incident. Samtidigt kan loggar innehålla uppgifter som direkt eller indirekt kan kopplas till en fysisk person. För GDPR- och säkerhetsansvariga är därför frågan inte enbart vilka loggar som behövs för teknisk felsökning, utan också vilka personuppgifter som behandlas, varför de behandlas och hur länge de behöver finnas kvar. Det kräver en tydlig förståelse för sambandet mellan loggning, informationssäkerhet och dataskydd.

Vilken information finns i säkerhetsloggar?

En säkerhetslogg kan innehålla betydligt fler detaljer än den händelse som ursprungligen skulle dokumenteras. Användarnamn, e-postadresser, IP-adresser, enhetsidentiteter, inloggningstider och uppgifter om vilka system eller resurser som har öppnats kan tillsammans ge en detaljerad bild av en användares aktiviteter. Även uppgifter som var och en för sig verkar tekniska kan bli personuppgifter när de kan kopplas till en identifierbar individ. Därför behöver organisationen bedöma loggarnas innehåll som en helhet. Det är särskilt viktigt när flera system samlar information som senare kan kombineras under en incidentutredning.

När tekniska uppgifter kan kopplas till personer

En IP-adress är ett tydligt exempel på en teknisk uppgift som kan få dataskyddsrelevans. Om organisationen har möjlighet att koppla adressen till en specifik användare eller enhet kan informationen bidra till att identifiera vem som varit aktiv vid en viss tidpunkt. Detsamma gäller exempelvis användar-ID, klientnamn och autentiseringsdata. Säkerhetsansvariga behöver därför inte utgå från att uppgifter är ofarliga bara för att de kommer från tekniska system. Bedömningen behöver ta hänsyn till vilka andra uppgifter organisationen har tillgång till och hur informationen faktiskt används i verksamheten.

Incidenten kan avslöja mer än förväntat

Vid en säkerhetsincident samlas ofta stora mängder loggdata in för att skapa en så komplett händelsebild som möjligt. Problemet uppstår när materialet innehåller information om personer, aktiviteter eller system som egentligen inte är relevanta för den aktuella incidenten. En utredning kan exempelvis börja med ett begränsat misstänkt konto men snabbt omfatta månader av användarhistorik. Ju bredare insamlingen blir, desto större blir också behovet av tydliga rutiner för åtkomst, dokumentation och gallring. Säkerhetsarbetets behov av detaljer behöver därför vägas mot principen om att inte behandla mer information än vad ändamålet kräver.

Balansen mellan incidenthantering och GDPR

När säkerhetsloggar innehåller personuppgifter behöver organisationen hantera dem inom ramen för GDPR. Det innebär bland annat att behandlingen måste ha ett tydligt ändamål och en rättslig grund. Loggning för säkerhetsändamål kan vara motiverad, men det betyder inte automatiskt att all tänkbar loggdata får samlas in och sparas utan begränsningar. För GDPR- och säkerhetsansvariga blir därför dokumentation en viktig del av arbetet. Det ska gå att förklara varför viss information behövs, vilka som får tillgång till den och när informationen inte längre fyller en legitim funktion.

Ändamålet styr hur loggarna bör användas

En grundläggande fråga är varför organisationen loggar en viss händelse. Om syftet är att upptäcka obehörig åtkomst behöver loggningen utformas så att den ger tillräckligt underlag för detta. Det är inte nödvändigtvis samma sak som att samla in alla aktiviteter som en användare utför. Ett tydligt ändamål gör det lättare att avgöra vilka uppgifter som är relevanta och vilka som kan undvikas. Det underlättar också den fortsatta hanteringen när en incident inträffar. Loggar bör inte automatiskt betraktas som obegränsade arkiv över användarnas digitala beteende.

Åtkomst till loggar kräver kontroll

Säkerhetsloggar kan vara attraktiva informationskällor även för personer som inte behöver dem i sitt arbete. Materialet kan innehålla detaljer om användares aktiviteter, administrativa åtgärder och säkerhetsrelaterade händelser. Därför bör åtkomsten begränsas till personer med ett faktiskt tjänstebehov. Behörigheter behöver dessutom ses över regelbundet, särskilt när roller förändras eller när en incident kräver att fler personer tillfälligt deltar i analysen. Det är också viktigt att dokumentera vem som får tillgång till materialet och varför. En säkerhetslogg som skyddas dåligt kan skapa en ny integritetsrisk samtidigt som den används för att utreda en annan.

Hur länge behöver loggar sparas?

Lagringstiden är ytterligare en central fråga. Det kan finnas tekniska argument för att spara loggar under lång tid, eftersom historiska data kan hjälpa till att upptäcka mönster eller undersöka äldre angrepp. Samtidigt behöver organisationen kunna motivera varför personuppgifter måste finnas kvar under den aktuella perioden. En generell lagringstid som aldrig omprövas riskerar att leda till att information blir kvar trots att den inte längre behövs. Det är därför lämpligt att fastställa tydliga regler för bevarande och gallring. Olika typer av loggar kan dessutom behöva hanteras enligt olika tidsramar.

Incidentutredningar kräver särskild disciplin

När en incident inträffar kan behovet av loggdata tillfälligt öka. Då är det viktigt att skilja mellan information som behövs för den konkreta utredningen och information som bara råkar finnas tillgänglig. Säkerhetsgruppen bör dokumentera vilka datakällor som används och vilken fråga varje källa ska besvara. Om ytterligare information behöver hämtas under utredningen bör även detta kunna motiveras. På så sätt minskar risken för att incidenthantering utvecklas till en generell kartläggning av användarnas aktiviteter. Samtidigt blir det enklare att i efterhand visa hur organisationen har resonerat kring proportionalitet och dataskydd.

Så minimeras riskerna med känslig loggdata

Att minska riskerna med säkerhetsloggar handlar inte om att logga så lite som möjligt. Målet är i stället att skapa en genomtänkt struktur där organisationen kan upptäcka och utreda säkerhetshändelser utan att samla in eller exponera mer personrelaterad information än vad som behövs. Det kräver samarbete mellan säkerhet, IT, juridik och dataskydd. Tekniska inställningar behöver kompletteras med styrande dokument, behörighetskontroller och återkommande granskningar. När dessa delar samverkar blir det lättare att hantera situationer där säkerhetsbehov och integritetshänsyn möts.

Börja med en kartläggning

Ett praktiskt första steg är att kartlägga vilka system som producerar säkerhetsloggar och vilken information de innehåller. Organisationen kan därefter identifiera vilka fält som kan kopplas till individer och vilka som är nödvändiga för säkerhetsändamålet. Kartläggningen bör även omfatta var loggarna lagras, hur de överförs och vilka personer eller funktioner som kan läsa dem. Detta ger en tydligare bild av hela informationsflödet. Om samma uppgifter förekommer i flera system kan det dessutom vara möjligt att minska mängden lagrad information genom att justera insamlingen eller begränsa onödig duplicering.

Begränsa exponeringen av uppgifter

När loggdata behöver användas i en incidentutredning bör endast relevant information göras tillgänglig för de personer som arbetar med ärendet. Det kan exempelvis innebära att analysverktyg konfigureras så att vissa uppgifter inte visas förrän de faktiskt behövs. Även export av loggar bör hanteras kontrollerat. Kopior som skapas för analys, rapportering eller dokumentation kan annars bli ytterligare informationsmängder som måste skyddas och gallras. En organisation som har tydliga rutiner för hantering av loggdata minskar därmed både risken för obehörig åtkomst och risken för att känslig information sprids under en pågående utredning.

Tekniska och organisatoriska åtgärder

Flera åtgärder kan kombineras för att skapa bättre kontroll över säkerhetsloggar:

• Begränsa loggning till uppgifter som har ett definierat säkerhetsändamål.

• Använd behörighetsstyrning så att endast relevanta roller får läsa loggdata.

• Fastställ dokumenterade lagringstider och rutiner för gallring.

• Logga och granska åtkomst till själva säkerhetsloggarna.

• Se över loggningsinställningar regelbundet när system och säkerhetsbehov förändras.

Dessa åtgärder behöver anpassas efter verksamhetens riskbild, systemmiljö och behandlingen av personuppgifter. Det finns sällan en enda standardinställning som passar alla organisationer. En viktig del av arbetet är därför att regelbundet kontrollera om den information som samlas in fortfarande behövs och om skyddsåtgärderna motsvarar den risk som behandlingen medför.

Dokumentera beslut och ansvar

Dokumentation blir särskilt viktig när säkerhetsloggar används under en incident. Det bör framgå vem som ansvarar för loggningen, vilka ändamål som gäller, hur åtkomsten kontrolleras och hur lagringstiderna har fastställts. Organisationen bör även ha tydliga rutiner för vad som händer när en incidentutredning är avslutad. Om material behöver bevaras längre än den normala lagringstiden behöver detta hanteras enligt organisationens styrning och tillämpliga dataskyddskrav. På så sätt blir säkerhetsloggen en kontrollerad del av incidenthanteringen i stället för ett växande arkiv där information sparas utan tydligt syfte.