Datalagring definierar hur länge data sparas innan de raderas. Reglerna kommer från många källor. Förordningar kräver att finansiella register sparas i sju år. Hälso- och sjukvårdsdata har sina egna tidsfrister. GDPR säger att personuppgifter inte ska sparas längre än nödvändigt. Rättsliga reservationer kräver att data bevaras under rättstvister. Avtal med leverantörer anger lagringsperioder. Organisationen måste förena alla dessa till en sammanhängande policy.

Lagring handlar inte bara om efterlevnad. Det handlar om risk och kostnad. Varje byte av lagrad data är en potentiell belastning. Ett dataintrång exponerar allt du behåller. En stämning kan kräva ut allt du behåller. Lagring kostar pengar. Bearbetning kostar pengar. Gammal data saktar ner frågor och komplicerar migreringar. Instinkten att behålla allt för alltid är förståelig och felaktig. Lagringspolicyer bör vara specifika. All data är inte likadan. Transaktionsregister, kund-e-postmeddelanden, serverloggar och marknadsföringsanalyser har alla olika krav och olika riskprofiler. Policyn bör definiera lagringsperioder för varje kategori, specificera hur radering sker och verifiera att det faktiskt sker. Automatiserad radering är avgörande. Manuell radering sker inte. Data som borde ha raderats för flera år sedan finns fortfarande kvar och väntar på att orsaka problem. Lagring handlar om att släppa taget. Datan tjänade sitt syfte. Att behålla den längre tjänar ingen annan än angriparen.

Att beakta vid bevarande

• Myndighetskrav – bransch- och jurisdiktionspecifika
• Rättsliga reservationer – bevara data när rättstvister är sannolika
• Affärsbehov – hur länge informationen faktiskt är användbar
• Risk — exponering för intrång och upptäckt
• Kostnad — lagrings- och bearbetningskostnader

Retention är en balansgång. Spara för lite och du förlorar historik. Spara för mycket och du bär risk. Det rätta svaret varierar beroende på datatyp.