Le impostazioni di conservazione sono le regole che definiscono per quanto tempo i dati sensibili vengono archiviati prima che siano eliminati, anonimizzati o scadano automaticamente. Si applicano a elementi come immagini biometriche, log, telemetria, backup e caricamenti temporanei. Nella sicurezza informatica, la conservazione è importante perché più a lungo i dati esistono, più tempo hanno gli aggressori, gli insider o i sistemi configurati in modo errato per accedervi. Una conservazione breve e applicata in modo rigoroso riduce l'esposizione e aiuta a limitare il raggio di impatto di una violazione.
Nei sistemi reali, impostazioni di conservazione deboli possono minare in silenzio i controlli sulla privacy. Ad esempio, un'app può elaborare un volto in locale ma conservare comunque screenshot, tracce di debug, eventi di analisi o caricamenti di riserva su un server. I difensori usano policy di conservazione, controlli del ciclo di vita e processi di eliminazione per garantire che gli artefatti sensibili non sopravvivano più del necessario. Un buon design della conservazione supporta la minimizzazione dei dati e rende più facile dimostrare che un servizio conserva solo ciò di cui ha bisogno, solo per il tempo necessario.