Dataopbevaring definerer, hvor længe data opbevares før sletning. Reglerne kommer fra mange kilder. Forordninger kræver, at økonomiske optegnelser opbevares i syv år. Sundhedsdata har sine egne tidsfrister. GDPR siger, at personoplysninger ikke må opbevares længere end nødvendigt. Juridisk opbevaring kræver, at data opbevares under retssager. Kontrakter med leverandører specificerer opbevaringsperioder. Organisationen skal forene alle disse i en sammenhængende politik.

Opbevaring handler ikke kun om compliance. Det handler om risiko og omkostninger. Hver byte af lagrede data er en potentiel belastning. Et brud afslører alt, hvad du opbevarer. En retssag kan indkalde alt, hvad du opbevarer. Lagring koster penge. Behandling koster penge. Gamle data forsinker forespørgsler og komplicerer migreringer. Instinktet til at opbevare alt for evigt er forståeligt og forkert. Opbevaringspolitikker bør være specifikke. Ikke alle data er ens. Transaktionsregistre, kunde-e-mails, serverlogfiler og marketinganalyser har hver især forskellige krav og forskellige risikoprofiler. Politikken bør definere opbevaringsperioder for hver kategori, specificere, hvordan sletning sker, og verificere, at det rent faktisk sker. Automatiseret sletning er afgørende. Manuel sletning sker ikke. Data, der burde have været slettet for år siden, er der stadig og venter på at forårsage problemer. Opbevaring handler om at give slip. Dataene tjente deres formål. At opbevare dem længere tjener ingen andre end angriberen.

Overvejelser vedrørende opbevaring

• Reguleringskrav — branche- og jurisdiktionspecifikke
• Juridisk tilbageholdelse — bevar data, når der er sandsynlighed for retssager
• Forretningsbehov — hvor længe dataene rent faktisk er nyttige
• Risiko — eksponering for brud og opdagelse
• Omkostninger — opbevarings- og forarbejdningsomkostninger

Fastholdelse er en balance. Behold for lidt, og du mister historik. Behold for meget, og du løber risiko. Det rigtige svar ændrer sig afhængigt af datatypen.