Dataoppbevaring definerer hvor lenge data oppbevares før sletting. Reglene kommer fra mange kilder. Forskrifter krever at økonomiske dokumenter oppbevares i syv år. Helsedata har sine egne tidsfrister. GDPR sier at personopplysninger ikke skal oppbevares lenger enn nødvendig. Juridisk oppbevaring krever at data oppbevares under rettstvister. Kontrakter med leverandører spesifiserer oppbevaringsperioder. Organisasjonen må avstemme alle disse til en sammenhengende policy.

Oppbevaring handler ikke bare om samsvar. Det handler om risiko og kostnader. Hver byte med lagrede data er en potensiell risiko. Et brudd eksponerer alt du beholder. Et søksmål kan stevne alt du beholder. Lagring koster penger. Behandling koster penger. Gamle data bremser spørringer og kompliserer migreringer. Instinktet om å beholde alt for alltid er forståelig og feil. Oppbevaringspolicyer bør være spesifikke. Ikke alle data er like. Transaksjonsregistre, kunde-e-poster, serverlogger og markedsføringsanalyser har forskjellige krav og forskjellige risikoprofiler. Policyen bør definere oppbevaringsperioder for hver kategori, spesifisere hvordan sletting skjer og bekrefte at det faktisk skjer. Automatisert sletting er viktig. Manuell sletting skjer ikke. Data som skulle vært slettet for mange år siden, er fortsatt der og venter på å forårsake problemer. Oppbevaring handler om å gi slipp. Dataene tjente sitt formål. Å beholde dem lenger tjener ingen andre enn angriperen.

Hensyn knyttet til oppbevaring

• Reguleringskrav – bransje- og jurisdiksjonsspesifikke
• Juridisk reservasjon – bevar data når det er sannsynlig at det oppstår rettstvister
• Forretningsbehov – hvor lenge dataene faktisk er nyttige
• Risiko – eksponering for brudd og oppdagelse
• Kostnad – lagrings- og prosesseringskostnader

Oppbevaring er en balansegang. Hvis du beholder for lite, mister du historikk. Hvis du beholder for mye, bærer du risiko. Det riktige svaret varierer etter datatype.