Requisitos de registro de logs e de retenção comparados
Todo framework relevante exige logs de auditoria. Surpreendentemente, poucos dizem por quanto tempo mantê-los. Veja quem define um número, quem não define, e como escolher um que atenda a todos.
Esta publicação abrange as 11 normas que a ControlMapping tinha mapeado quando foi escrita. Desde então, foram acrescentadas DORA, CPS 234, Cyber Essentials em 2026-10-27; as respetivas páginas e a matriz de cobertura já as incluem.
A auditoria de logs é quase universal: dez dos onze frameworks que mapeamos a exigem (o RGPD [GDPR] é a exceção, e mesmo nesse caso os logs são o que permite investigar uma violação). O que eles exigem difere em dois aspectos: o que registrar e por quanto tempo manter. O segundo é onde as equipes mais costumam travar, porque apenas alguns frameworks indicam um número.
Quem exige o quê
| Framework | Registro e Auditoria | Vínculo |
|---|---|---|
| NIST CSF 2.0 | PR.PS-04DE.AE-03 | Definição do tópico |
| ISO 27001 | A.8.15A.8.17 | Correspondência |
| CIS v8.1 | CIS 8.2CIS 8.10CIS 3.14CIS 8.1CIS 8.3CIS 8.4CIS 8.5CIS 8.7CIS 8.8CIS 8.12 | Correspondência |
| SOC 2 | CC7.2 | Editorial |
| PCI DSS | 10.2.110.3.210.5.110.6.1 | Correspondência |
| CMMC | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7 | Correspondência |
| 800-53 | AU-2AU-3AU-11AU-12 | Correspondência |
| HIPAA | §164.312(b) | Correspondência |
| GDPR | — | Sem mapeamento em nossos dados |
| NIS2 | 3.2 | Correspondência |
| Essential Eight | ISM-1815ISM-1660ISM-1509ISM-1683ISM-1623 | Editorial |
Detalhe completo e o motivo de cada ligação: Registro e Auditoria em todos os frameworks →
O que registrar
Os frameworks mais específicos listam eventos. O PCI DSS exige que os logs capturem o acesso individual de usuários a dados do portador do cartão, todas as ações administrativas, o acesso aos próprios logs, tentativas de acesso inválidas, alterações em credenciais de identificação e autenticação, início e interrupção do registro de logs, e criação e exclusão de objetos em nível de sistema (10.2.1.1 a 10.2.1.7), cada um com usuário, tipo, horário, resultado e origem (10.2.2). Os CIS Controls acrescentam registros detalhados de DNS, URL e linha de comando (8.5 a 8.8). O SP 800-53 e o CMMC exigem que você defina os eventos que registra (AU-2; AU.L2-3.3.1). A ISO 27001 (A.8.15) e o SOC 2 (CC7.2) exigem registro compatível com seus riscos.
Por quanto tempo manter os logs
| Framework | Retenção |
|---|---|
| PCI DSS | Pelo menos 12 meses, com os últimos três meses imediatamente disponíveis (10.5.1) |
| CIS Controls | Pelo menos 90 dias (8.10) |
| SP 800-53 | Um período que você define (AU-11) |
| CMMC Level 2 | Pelo tempo necessário para monitorar, analisar, investigar e reportar (AU.L2-3.3.1) |
| ISO 27001, SOC 2 | Não especificado; definido pela sua avaliação de riscos e pelas obrigações legais |
| HIPAA | Não especificado para logs (a regra de seis anos cobre a documentação) |
Como escolher um período de retenção
Se o PCI DSS se aplica a qualquer parte do seu ambiente, 12 meses com três meses em acesso imediato é a referência óbvia, e atende com folga o mínimo do CIS. Para os demais casos, também é um padrão razoável: longo o suficiente para investigar incidentes descobertos meses depois, o que acontece com muitos, e curto o bastante para armazenar a um custo acessível. Ajuste conforme a legislação e os contratos do seu setor, e registre a decisão com sua justificativa, que é o que auditores da ISO e do SOC 2 vão procurar.
O que reter, e não apenas por quanto tempo
Os períodos de retenção se aplicam aos logs que importam para a investigação. Uma divisão prática em níveis:
- Logs relevantes para segurança (autenticação, ações privilegiadas, eventos de firewall e EDR, acesso a dados sensíveis): o período de retenção integral, protegidos contra alterações.
- Logs operacionais (saída de depuração de aplicações, métricas de desempenho): retenção mais curta, definida pela necessidade da engenharia.
- Logs que contêm dados pessoais: pelo tempo necessário para a segurança, sem exceder o necessário, o que mantém atendido o princípio de limitação de armazenamento do RGPD.
Registre os níveis na sua política de logs para que a decisão de retenção fique visível e defensável.
Principais conclusões
- Dez dos onze frameworks exigem registro de auditoria.
- Apenas o PCI DSS e o CIS definem períodos de retenção.
- Doze meses, com três disponíveis imediatamente, é um padrão seguro.
- Proteja os logs contra adulteração e revise os eventos de segurança; o PCI DSS exige revisão diária.
Além da retenção
- Proteja os logs contra adulteração (PCI 10.3.2, CMMC AU.L2-3.3.8): armazenamento de gravação única ou uma plataforma centralizada de logs com acesso restrito.
- Sincronize os relógios (PCI 10.6.1, CIS 8.4, CMMC AU.L2-3.3.7), senão a correlação de eventos entre sistemas falha.
- Revise-os: o PCI exige revisão diária dos eventos de segurança (10.4.1); a maioria dos outros espera revisão regular, geralmente automatizada.
O tópico Logging & Audit lista cada requisito com sua fonte, e o tópico relacionado SIEM / SOC trata da análise. A análise de lacunas compara quaisquer dois frameworks por completo.
Perguntas
Por quanto tempo o PCI DSS exige que os logs sejam mantidos?
Pelo menos 12 meses de histórico de logs de auditoria, com os três meses mais recentes imediatamente disponíveis para análise (10.5.1).
O HIPAA define um período de retenção de logs?
Não. A Security Rule exige controles de auditoria (§164.312(b)), mas não define período de retenção de logs. Seu requisito de retenção de seis anos se aplica à documentação exigida, como políticas, e não aos logs de auditoria.
Dados atualizados em 2026-10-27: os números deste artigo são calculados a partir da correspondência atual e são atualizados quando ela muda. Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Não é aconselhamento de conformidade.
Publicações relacionadas
Análise · 2026-10-27APRA CPS 234 e ISO 27001: o que seu ISMS cobre e o que a APRA acrescentaUm ISMS ISO 27001 cobre quase todos os parágrafos da CPS 234 da APRA, mas a APRA acrescenta deveres do Conselho, garantia de terceiros e prazos rigorosos de notificação.
Análise · 2026-10-27Cyber Essentials vs Essential Eight: duas bases nacionaisO Cyber Essentials do Reino Unido e o Essential Eight da Austrália visam ataques comuns, mas cobrem terrenos diferentes. O que se sobrepõe, o que não se sobrepõe e por quê.
Análise · 2026-10-27DORA vs NIS2: o que um programa NIS2 já cobreDORA e NIS2 compartilham a maior parte do seu conteúdo de segurança, mas o DORA acrescenta um registro, cláusulas contratuais e testes orientados por ameaças. Artigo por artigo, veja o que se aproveita.