Требования к логированию и срокам хранения логов: сравнение
Каждый крупный стандарт требует аудиторских логов, но удивительно мало из них указывают, как долго их хранить. Ниже — кто устанавливает конкретный срок, кто нет и как выбрать срок, который удовлетворит все требования сразу.
В этом материале рассматриваются 11 фреймворков, которые ControlMapping сопоставил на момент написания. С тех пор DORA, CPS 234, Cyber Essentials были добавлены 2026-10-27; их страницы и матрица покрытия уже включают их.
Логирование аудита встречается почти повсеместно: десять из одиннадцати стандартов, которые мы сопоставляем, его требуют (исключение составляет GDPR, и даже там логи являются основным способом расследования утечки). Требования различаются в двух аспектах: что логировать и как долго хранить. Второй аспект — то место, где команды чаще всего застревают, поскольку лишь несколько стандартов называют конкретный срок.
Кто что требует
| Стандарт | Логирование и аудит | Связь |
|---|---|---|
| NIST CSF 2.0 | PR.PS-04DE.AE-03 | Определение темы |
| ISO 27001 | A.8.15A.8.17 | Соответствия |
| CIS v8.1 | CIS 8.2CIS 8.10CIS 3.14CIS 8.1CIS 8.3CIS 8.4CIS 8.5CIS 8.7CIS 8.8CIS 8.12 | Соответствия |
| SOC 2 | CC7.2 | Редакционные материалы |
| PCI DSS | 10.2.110.3.210.5.110.6.1 | Соответствия |
| CMMC | AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7 | Соответствия |
| 800-53 | AU-2AU-3AU-11AU-12 | Соответствия |
| HIPAA | §164.312(b) | Соответствия |
| GDPR | — | Нет сопоставления в наших данных |
| NIS2 | 3.2 | Соответствия |
| Essential Eight | ISM-1815ISM-1660ISM-1509ISM-1683ISM-1623 | Редакционные материалы |
Полные подробности и обоснование каждой связи: Логирование и аудит по фреймворкам →
Что логировать
Наиболее конкретные стандарты перечисляют события. PCI DSS требует, чтобы логи фиксировали доступ отдельных пользователей к данным держателей карт, все административные действия, доступ к самим логам, неверные попытки доступа, изменения учётных данных для идентификации и аутентификации, запуск и остановку логирования, а также создание и удаление объектов системного уровня (10.2.1.1–10.2.1.7), причём каждое событие должно содержать пользователя, тип, время, результат и источник (10.2.2). CIS Controls добавляют подробные логи DNS, URL и командной строки (8.5–8.8). SP 800-53 и CMMC требуют, чтобы вы определили события, которые логируете (AU-2; AU.L2-3.3.1). ISO 27001 (A.8.15) и SOC 2 (CC7.2) требуют логирования, соответствующего вашим рискам.
Как долго хранить логи
| Стандарт | Срок хранения |
|---|---|
| PCI DSS | Не менее 12 месяцев, при этом последние три месяца должны быть доступны немедленно (10.5.1) |
| CIS Controls | Не менее 90 дней (8.10) |
| SP 800-53 | Период, который определяете вы (AU-11) |
| CMMC Level 2 | Столько, сколько необходимо для мониторинга, анализа, расследования и отчётности (AU.L2-3.3.1) |
| ISO 27001, SOC 2 | Не указан; определяется вашей оценкой рисков и правовыми обязательствами |
| HIPAA | Для логов не указан (правило шести лет распространяется на документацию) |
Выбор срока хранения
Если PCI DSS применяется к какой-либо части вашей среды, 12 месяцев с тремя месяцами в оперативном доступе — очевидная базовая величина, и она с запасом выполняет минимум CIS. Для всех остальных это тоже разумное значение по умолчанию: достаточно долго, чтобы расследовать инциденты, обнаруженные спустя месяцы после события (а таких немало), и достаточно коротко, чтобы хранение было экономически оправданным. Скорректируйте срок с учётом законов и договорных требований в вашей отрасли и зафиксируйте решение вместе с обоснованием — именно это будут искать аудиторы ISO и SOC 2.
Что хранить, а не только как долго
Сроки хранения применяются к логам, которые важны для расследований. Практическое разделение по уровням:
- Логи, значимые для безопасности (аутентификация, привилегированные действия, события межсетевого экрана и EDR, доступ к чувствительным данным): полный срок хранения с защитой от изменения.
- Операционные логи (отладочный вывод приложений, метрики производительности): более короткий срок, определяемый потребностями разработки.
- Логи, содержащие персональные данные: достаточно долго для безопасности, но не дольше необходимого, что обеспечивает соблюдение принципа ограничения хранения GDPR.
Закрепите уровни в политике логирования, чтобы решение о сроке хранения было видимым и обоснованным.
Ключевые выводы
- Десять из одиннадцати стандартов требуют аудиторского логирования.
- Только PCI DSS и CIS устанавливают сроки хранения.
- 12 месяцев, из них три в немедленном доступе, — надёжное значение по умолчанию.
- Защищайте логи от подделки и анализируйте события безопасности; PCI DSS требует ежедневного анализа.
Помимо срока хранения
- Защита логов от изменения (PCI 10.3.2, CMMC AU.L2-3.3.8): хранилище с однократной записью или центральная платформа логов с ограниченным доступом.
- Синхронизация часов (PCI 10.6.1, CIS 8.4, CMMC AU.L2-3.3.7), иначе корреляция событий между системами не будет работать.
- Анализ логов: PCI требует ежедневного анализа событий безопасности (10.4.1); большинство других стандартов ожидают регулярного анализа, как правило автоматизированного.
Страница темы «Логирование и аудит» содержит каждое требование с указанием источника, а связанная тема SIEM / SOC охватывает анализ. Анализ разрывов полностью сравнивает любые два стандарта.
Вопросы
Какой срок хранения логов требует PCI DSS?
Не менее 12 месяцев истории аудиторских логов, при этом последние три месяца доступны для анализа немедленно (10.5.1).
Устанавливает ли HIPAA срок хранения логов?
Нет. Правило безопасности (Security Rule) требует средств аудита (§164.312(b)), но не устанавливает срок хранения логов. Требование о шестилетнем хранении относится к обязательной документации, например к политикам, а не к журналам аудита.
Данные на 2026-10-27: цифры в этой публикации рассчитаны по текущей таблице соответствий и обновляются при её изменении. Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Не является консультацией по соответствию.
Связанные публикации
Аналитика · 2026-10-27APRA CPS 234 и ISO 27001: что охватывает ваша СУИБ и что добавляет APRAСУИБ по ISO 27001 охватывает почти каждый пункт стандарта CPS 234 от APRA, однако APRA добавляет обязанности совета директоров, гарантии в отношении третьих сторон и жёсткие сроки уведомления.
Аналитика · 2026-10-27Cyber Essentials и Essential Eight: сравнение базовых наборов мерCyber Essentials в Великобритании и Essential Eight в Австралии нацелены на одни и те же распространённые атаки, но охватывают разные области. Что совпадает, что нет и почему.
Аналитика · 2026-10-27DORA и NIS2: что уже покрывает программа NIS2DORA и NIS2 во многом совпадают по мерам безопасности, но DORA добавляет реестр, условия договоров и тестирование на основе угроз. Статья за статьёй: что переносится.