A retenção

01Conservar com uma razão, suprimir com uma prova #sec_9021b67c

A retenção não consiste em aplicar a mesma duração a toda uma base. Uma plataforma de governança contém dados de naturezas muito diferentes: informações de trabalho substituíveis, decisões probatórias, segredos criptográficos, logs técnicos e estatísticas anonimizadas. Conservá-los ou suprimi-los da mesma maneira produziria ou uma acumulação injustificada ou a destruição prematura de uma prova.

REVIEWIT associa, portanto, cada categoria de dados a uma classe, um gatilho e uma regra de fim de vida. A duração é apenas uma parte da regra. Para alguns objetos, a elegibilidade para a purga depende de uma relação: uma atestação ainda viva pode prolongar seu instantâneo, uma obrigação de remediação aberta não pode ser suprimida, um pacote de verificação segue exatamente a atestação que serve.

O princípio orientador é duplo: não conservar nada sem finalidade e nunca tornar uma prova inverificável suprimindo um de seus componentes muito cedo.

02Quatro classes, quatro fins de vida #sec_9eecf111

C1 — Dados operacionais. Eles são vivos, substituíveis ou reproduzíveis: arquivos temporários, caches, exports gerados, notificações, logs técnicos. Seu fim de vida é geralmente uma supressão física direta após uma duração curta ou o fim de sua utilidade.

C2 — Dados probatórios. Eles contam um ato ou sustentam uma atestação: decisões de certificação, pista de auditoria, obrigações de remediação, manifestos e constats. Eles não se purgam como uma linha ordinária. Quando participam de uma cadeia de integridade, a purga trabalha por conjunto coerente e deixa um marcador que permite detectar que um conteúdo desapareceu legitimamente.

C3 — Dados criptográficos. Chaves, gerações de segredo, recibos e estados de autoridade têm seu próprio ciclo governado por SEAL. Sua duração não é calcada mecanicamente na dado de negócio, mas ela nunca pode ser mais curta que a da prova que dela depende.

C4 — Dados derivados. Estatísticas e agregados podem ser conservados além dos dados fontes apenas se sua anonimização irreversível for demonstrada.

A classe descreve o mecanismo de fim de vida, não a importância aparente do dado. Um documento contábil conservado dez anos pode permanecer um dado operacional se, no momento oportuno, sua supressão for ordinária.

03Uma política por perfil, com limites #sec_bf13aace

O perfil Standard fornece um quadro imediatamente utilizável. A título de exemplo, os resultados de certificação e a auditoria de negócio são conservados três anos, a auditoria de segurança doze meses, os logs técnicos noventa dias, os exports trinta dias e as cópias de segurança em uma janela deslizante dedicada.

Perfis Regulado ou Personalizado podem alongar certas durações. A personalização nunca é uma entrada livre « para sempre »: ela carrega um motivo, um aprovador, uma data de efeito e uma data de revisão. Sem renovação, a regra retorna ao perfil de referência.

Dois limites impedem configurações incoerentes:

• um limite alto absoluto, transponível apenas por uma derrogação nominativa, motivada e reexaminada;
• um limite baixo para os dados expostos a um consumidor externo por fluxo incremental, para que a janela de repetição permaneça realmente utilizável.

A janela de cópia de segurança não é uma duração de conservação mínima. Ela indica o prazo máximo antes da supressão completa de todas as cópias. Um dado pode desaparecer dos sistemas ativos após trinta dias e só se tornar totalmente apagado após a expiração das cópias de segurança que o continham.

04As dependências prevalecem sobre o calendário #sec_3bbd8efa

Uma data sozinha nem sempre é suficiente para autorizar uma purga.

O instantâneo de uma campanha é conservado enquanto uma atestação viva o referencia. Uma obrigação de remediação só se torna elegível após sua entrada em um estado terminal, depois permanece protegida pelas atestações às quais está ligada. As notícias, constats e atos de runbook seguem a obrigação que documentam. O pacote de verificação segue a atestação como uma unidade indissociável.

Por outro lado, os logs técnicos de execução não adquirem uma longa retenção simplesmente porque contribuíram para uma operação probatória. REVIEWIT conserva o resultado e a prova útil, não indefinidamente cada detalhe de exploração.

Este gráfico de dependências evita dois erros clássicos: suprimir um suporte ainda necessário ou guardar tudo « por precaução » por falta de saber o que é realmente indispensável.

05Provar a purga sem conservar o dado purgado #sec_6d46e81c

Cada ciclo de retenção produz um registro de execução: perímetro avaliado, regra aplicada, volumes tratados e motivos das não-purgas. Este registro não é suprimido pelo mecanismo que documenta.

Para os dados encadeados ou selados, REVIEWIT conserva uma prova técnica não identificante da purga. Ela permite distinguir uma retirada autorizada de uma alteração clandestina, sem recriar um identificador de objeto nem conservar o conteúdo suprimido.

Arquivamento e purga permanecem duas operações diferentes. O arquivamento desloca um conteúdo para um armazenamento frio enquanto mantém sua capacidade de restituição. A purga o destrói sem retorno. O sistema torna esta fronteira visível em seus estados e nos relatórios produzidos.

06Em resumo #sec_e5d20280

A retenção em REVIEWIT é um motor de governança, não um temporizador global. Ela leva em conta a natureza dos dados, suas dependências e as garantias esperadas. Ela sabe explicar por que um dado permanece, por que outro parte, e produzir uma prova durável da supressão sem conservar o que deveria desaparecer.