Exigences de journalisation et de rétention des journaux comparées

La journalisation d'audit est presque universelle : dix des onze référentiels que nous cartographions l'exigent (le RGPD [GDPR] fait exception, et même là, les journaux sont ce qui permet d'enquêter sur une violation). Ce qu'ils exigent diffère sur deux points : quoi journaliser et pendant combien de temps les conserver. Le second point est celui où les équipes bloquent le plus souvent, car seuls quelques référentiels donnent un chiffre.

Qui exige quoi

Référentiel	Journalisation et audit	Lien
NIST CSF 2.0	PR.PS-04DE.AE-03	Définition du sujet
ISO 27001	A.8.15A.8.17	Correspondance
CIS v8.1	CIS 8.2CIS 8.10CIS 3.14CIS 8.1CIS 8.3CIS 8.4CIS 8.5CIS 8.7CIS 8.8CIS 8.12	Correspondance
SOC 2	CC7.2	Éditorial
PCI DSS	10.2.110.3.210.5.110.6.1	Correspondance
CMMC	AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7	Correspondance
800-53	AU-2AU-3AU-11AU-12	Correspondance
HIPAA	§164.312(b)	Correspondance
GDPR	—	Aucune correspondance dans nos données
NIS2	3.2	Correspondance
Essential Eight	ISM-1815ISM-1660ISM-1509ISM-1683ISM-1623	Éditorial

Détail complet et raison de chaque lien : Journalisation et audit dans les référentiels →

Quoi journaliser

Les référentiels les plus précis énumèrent des événements. PCI DSS exige que les journaux capturent les accès individuels des utilisateurs aux données de titulaires de carte, toutes les actions d'administration, les accès aux journaux eux-mêmes, les tentatives d'accès invalides, les modifications des identifiants d'identification et d'authentification, le démarrage et l'arrêt de la journalisation, ainsi que la création et la suppression d'objets au niveau système (10.2.1.1 à 10.2.1.7), chacun avec l'utilisateur, le type, l'heure, le résultat et l'origine (10.2.2). Les CIS Controls ajoutent des journaux détaillés sur le DNS, les URL et les lignes de commande (8.5 à 8.8). SP 800-53 et CMMC exigent que vous définissiez les événements journalisés (AU-2 ; AU.L2-3.3.1). ISO 27001 (A.8.15) et SOC 2 (CC7.2) exigent une journalisation adaptée à vos risques.

Combien de temps conserver les journaux

Référentiel	Rétention
PCI DSS	Au moins 12 mois, dont les trois derniers mois immédiatement disponibles (10.5.1)
CIS Controls	Au moins 90 jours (8.10)
SP 800-53	Une période que vous définissez (AU-11)
CMMC Level 2	Aussi longtemps que nécessaire pour surveiller, analyser, investiguer et signaler (AU.L2-3.3.1)
ISO 27001, SOC 2	Non précisé ; défini par votre appréciation des risques et vos obligations légales
HIPAA	Non précisé pour les journaux (la règle des six ans couvre la documentation)

Choisir une durée de rétention

Si PCI DSS s'applique à une partie de votre environnement, 12 mois dont trois mois immédiatement accessibles constituent la base évidente, et elle satisfait largement le minimum CIS. Pour tous les autres, c'est aussi une valeur par défaut raisonnable : assez longue pour enquêter sur des incidents découverts plusieurs mois après coup, ce qui est souvent le cas, et assez courte pour un stockage abordable. Ajustez selon le droit et les contrats de votre secteur, et consignez la décision avec sa justification, ce que les auditeurs ISO et SOC 2 rechercheront.

Quoi conserver, pas seulement pendant combien de temps

Les durées de rétention s'appliquent aux journaux qui comptent pour les investigations. Voici une hiérarchisation pratique :

• Journaux liés à la sécurité (authentification, actions privilégiées, événements pare-feu et EDR, accès aux données sensibles) : la durée de rétention complète, protégés contre toute modification.
• Journaux opérationnels (sorties de débogage applicatives, indicateurs de performance) : rétention plus courte, définie par les besoins de l'ingénierie.
• Journaux contenant des données personnelles : assez longtemps pour la sécurité, pas plus longtemps que nécessaire, ce qui respecte le principe de limitation de la conservation du RGPD.

Intégrez ces niveaux à votre politique de journalisation afin que la décision de rétention soit visible et défendable.

Points clés

• Dix référentiels sur onze exigent la journalisation d'audit.
• Seuls PCI DSS et CIS fixent des durées de rétention.
• Douze mois, dont trois immédiatement disponibles, constituent une valeur par défaut sûre.
• Protégez les journaux contre toute altération et examinez les événements de sécurité ; PCI DSS exige un examen quotidien.

Au-delà de la rétention

• Protégez les journaux contre toute altération (PCI 10.3.2, CMMC AU.L2-3.3.8) : stockage en écriture unique ou plateforme centralisée de journaux à accès restreint.
• Synchronisez les horloges (PCI 10.6.1, CIS 8.4, CMMC AU.L2-3.3.7), sans quoi la corrélation des événements entre systèmes échoue.
• Examinez-les : PCI exige un examen quotidien des événements de sécurité (10.4.1) ; la plupart des autres attendent un examen régulier, généralement automatisé.

La page du sujet Journalisation et audit recense chaque exigence avec sa source, et le sujet connexe SIEM / SOC traite de l'analyse. L'analyse d'écarts compare deux référentiels quelconques en détail.

Questions

Pendant combien de temps PCI DSS exige-t-il la conservation des journaux ?

Au moins 12 mois d'historique des journaux d'audit, dont les trois mois les plus récents immédiatement disponibles pour l'analyse (10.5.1).

HIPAA fixe-t-il une durée de rétention des journaux ?

Non. La Security Rule exige des contrôles d'audit (§164.312(b)) mais ne fixe aucune durée de rétention des journaux. Son exigence de rétention de six ans s'applique à la documentation requise, comme les politiques, et non aux journaux d'audit.