邮件留存策略该怎么设计？保存期限凭什么定？

NIST SP 800-45 Version 2 把邮件安全放在完整的规划与管理框架下讨论，强调邮件相关的策略应当明确记录、并与组织整体的安全策略保持一致。落到留存上，一份可执行的策略至少要回答四件事：存什么（正文、附件、投递日志、认证结果分别处理）、存多久、存在哪、到期怎么处置。只规定年限而不规定处置动作，等于没有策略——数据会永远躺在磁盘上。

期限不应拍脑袋，通常来自三个方向：一是外部法定或监管要求，特定行业对业务往来记录有明确的最短保存年限；二是业务自身需要，例如合同履约周期、争议追溯窗口；三是安全运营需要，例如事件调查所需的回溯深度。把三者取并集得到下限，再由存储限制原则划出上限——最终期限落在这个区间内。

GDPR 第 5 条确立的存储限制原则要求：以可识别数据主体的形式保存个人数据的时间，不得超过实现处理目的所必需的期限。这意味着「为了保险起见永久保留」在该框架下站不住脚——留存期需要能被目的所解释。同条确立的数据最小化原则同样适用：留存的字段范围也应与目的相称，而不是无差别全量归档。

把邮件数据拆成几类分别设期限，通常比一刀切更容易同时满足下限与上限：邮件正文与附件按业务属性分级；投递日志（谁在何时发给谁、投递结果）与内容分离存储、单独设定期限；认证与安全事件记录按安全运营需要设定。分离的另一个好处是，需要长期保留追溯能力时，可以只保留元数据而不保留正文，从而在满足审计需要的同时降低个人数据的暴露面。

策略要落地，删除动作应由系统按规则自动执行，而不是依赖人工清理。配置时需要一并处理三个容易遗漏的位置：备份副本、归档系统中的独立拷贝、以及用户本地客户端的缓存。只删主库而备份中仍保留完整副本，实际留存期等于备份保留期，策略即告失效。此外，处置动作本身应留下可核查的记录，以便证明策略确实被执行。

当出现诉讼、调查或监管问询时，相关邮件需要被冻结、暂停自动删除。这要求系统支持按范围（人员、时间段、关键词）施加保留冻结，并且冻结的优先级高于到期删除规则。冻结机制应在留存策略上线时就一并设计——事后补建往往赶不上时限要求。