Persyaratan pencatatan log dan retensi log dibandingkan
Setiap kerangka kerja utama mensyaratkan log audit. Namun sangat sedikit yang menyebutkan berapa lama log harus disimpan. Berikut ini kerangka kerja yang menetapkan angka, yang tidak, dan cara memilih angka yang memenuhi semuanya.
Pos ini membahas 11 kerangka kerja yang dipetakan ControlMapping saat ditulis. Sejak itu, DORA, CPS 234, Cyber Essentials telah ditambahkan pada 2026-10-27; halaman masing-masing dan matriks cakupan sudah menyertakannya.
Pencatatan audit hampir universal: sepuluh dari sebelas kerangka kerja yang kami petakan mensyaratkannya (GDPR adalah pengecualian, dan bahkan di sana log tetap menjadi cara untuk menyelidiki pelanggaran). Yang mereka syaratkan berbeda dalam dua hal: apa yang dicatat dan berapa lama disimpan. Hal kedua inilah tempat tim paling sering terhambat, karena hanya beberapa kerangka kerja yang memberikan angka.
Siapa mensyaratkan apa
| Kerangka kerja | Pencatatan & Audit | Tautan |
|---|---|---|
| NIST CSF 2.0 | PR.PS-04DE.AE-03 | Definisi topik |
| ISO 27001 | A.8.15A.8.17 | Crosswalk |
| CIS v8.1 | CIS 8.2CIS 8.10CIS 3.14CIS 8.1CIS 8.3CIS 8.4CIS 8.5CIS 8.7CIS 8.8CIS 8.12 | Crosswalk |
| SOC 2 | CC7.2 | Editorial |
| PCI DSS | 10.2.110.3.210.5.110.6.1 | Crosswalk |
| CMMC | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7 | Crosswalk |
| 800-53 | AU-2AU-3AU-11AU-12 | Crosswalk |
| HIPAA | §164.312(b) | Crosswalk |
| GDPR | — | Tidak ada pemetaan dalam data kami |
| NIS2 | 3.2 | Crosswalk |
| Essential Eight | ISM-1815ISM-1660ISM-1509ISM-1683ISM-1623 | Editorial |
Detail lengkap dan alasan untuk setiap tautan: Pencatatan & Audit di seluruh kerangka kerja →
Apa yang dicatat
Kerangka kerja yang paling spesifik mendaftar peristiwa. PCI DSS mensyaratkan log menangkap akses pengguna individual ke data pemegang kartu, semua tindakan administratif, akses ke log itu sendiri, upaya akses tidak valid, perubahan kredensial identifikasi dan autentikasi, awal dan akhir pencatatan, serta pembuatan dan penghapusan objek tingkat sistem (10.2.1.1 hingga 10.2.1.7), masing-masing dengan pengguna, jenis, waktu, hasil dan asal (10.2.2). CIS Controls menambahkan log DNS, URL, dan baris perintah yang terperinci (8.5 hingga 8.8). SP 800-53 dan CMMC mensyaratkan Anda mendefinisikan peristiwa yang dicatat (AU-2; AU.L2-3.3.1). ISO 27001 (A.8.15) dan SOC 2 (CC7.2) mensyaratkan pencatatan yang sesuai dengan risiko Anda.
Berapa lama log disimpan
| Kerangka kerja | Retensi |
|---|---|
| PCI DSS | Minimal 12 bulan, dengan tiga bulan terakhir langsung tersedia (10.5.1) |
| CIS Controls | Minimal 90 hari (8.10) |
| SP 800-53 | Periode yang Anda tetapkan (AU-11) |
| CMMC Level 2 | Selama diperlukan untuk memantau, menganalisis, menyelidiki dan melaporkan (AU.L2-3.3.1) |
| ISO 27001, SOC 2 | Tidak ditentukan; ditetapkan berdasarkan penilaian risiko dan kewajiban hukum Anda |
| HIPAA | Tidak ditentukan untuk log (aturan enam tahun berlaku untuk dokumentasi) |
Memilih periode retensi
Jika PCI DSS berlaku untuk sebagian lingkungan Anda, 12 bulan dengan tiga bulan tersedia langsung adalah dasar yang jelas, dan ini juga dengan nyaman memenuhi minimum CIS. Untuk pihak lain, ini juga merupakan default yang wajar: cukup panjang untuk menyelidiki insiden yang ditemukan berbulan-bulan setelah kejadian, yang banyak terjadi, dan cukup pendek agar penyimpanannya terjangkau. Sesuaikan dengan hukum dan kontrak di sektor Anda, dan catat keputusan beserta alasannya, yang akan diperiksa oleh auditor ISO dan SOC 2.
Apa yang harus diretensi, bukan hanya berapa lama
Periode retensi berlaku untuk log yang penting bagi penyelidikan. Berikut pengelompokan praktisnya:
- Log terkait keamanan (autentikasi, tindakan privileged, peristiwa firewall dan EDR, akses ke data sensitif): periode retensi penuh, dilindungi dari perubahan.
- Log operasional (keluaran debug aplikasi, metrik kinerja): retensi lebih singkat, ditetapkan berdasarkan kebutuhan engineering.
- Log yang berisi data pribadi: cukup lama untuk keperluan keamanan, tidak lebih lama dari yang diperlukan, sehingga prinsip pembatasan penyimpanan GDPR tetap terpenuhi.
Tuangkan pengelompokan ini ke dalam kebijakan pencatatan Anda agar keputusan retensi terlihat dan dapat dipertanggungjawabkan.
Poin utama
- Sepuluh dari sebelas kerangka kerja mensyaratkan pencatatan audit.
- Hanya PCI DSS dan CIS yang menetapkan periode retensi.
- Dua belas bulan, tiga bulan langsung tersedia, adalah default yang aman.
- Lindungi log dari manipulasi dan tinjau peristiwa keamanan; PCI DSS mensyaratkan tinjauan harian.
Di luar retensi
- Lindungi log dari manipulasi (PCI 10.3.2, CMMC AU.L2-3.3.8): penyimpanan write-once atau platform log terpusat dengan akses terbatas.
- Sinkronkan jam (PCI 10.6.1, CIS 8.4, CMMC AU.L2-3.3.7), atau korelasi peristiwa antar sistem akan gagal.
- Tinjau secara berkala: PCI mensyaratkan tinjauan harian atas peristiwa keamanan (10.4.1); sebagian besar yang lain mengharapkan tinjauan rutin, umumnya otomatis.
Halaman topik Logging & Audit mencantumkan setiap persyaratan beserta sumbernya, dan topik terkait SIEM / SOC membahas analisisnya. Analisis kesenjangan membandingkan dua kerangka kerja mana pun secara lengkap.
Pertanyaan
Berapa lama PCI DSS mensyaratkan log disimpan?
Minimal 12 bulan riwayat log audit, dengan tiga bulan terakhir langsung tersedia untuk analisis (10.5.1).
Apakah HIPAA menetapkan periode retensi log?
Tidak. Security Rule mensyaratkan kontrol audit (§164.312(b)) tetapi tidak menetapkan periode retensi log. Persyaratan retensi enam tahunnya berlaku untuk dokumentasi wajib seperti kebijakan, bukan untuk log audit.
Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.
Artikel terkait
Analisis · 2026-10-27APRA CPS 234 dan ISO 27001: apa yang dicakup ISMS Anda dan apa yang ditambahkan APRAISMS ISO 27001 mencakup hampir setiap paragraf CPS 234 milik APRA, namun APRA menambahkan kewajiban Dewan Direksi, jaminan pihak ketiga, dan batas waktu notifikasi yang ketat.
Analisis · 2026-10-27Cyber Essentials vs Essential Eight: dua baseline nasional dibandingkanCyber Essentials milik Inggris dan Essential Eight milik Australia sama-sama menargetkan serangan umum, tetapi keduanya mencakup wilayah yang berbeda. Apa yang tumpang tindih, apa yang tidak, dan mengapa.
Analisis · 2026-10-27DORA vs NIS2: apa yang sudah dicakup program NIS2DORA dan NIS2 sama-sama memuat sebagian besar konten keamanan, namun DORA menambah register, ketentuan kontrak, dan pengujian berbasis ancaman. Pasal demi pasal.