日志与日志保留要求对比

几乎所有审计框架都要求审计日志：我们对照的十一个框架中有十个要求（GDPR 是例外，但即便如此，日志也是调查数据泄露的依据）。它们的要求主要体现在两个方面：记录什么和保留多久。第二点最容易让团队卡住，因为只有少数框架给出了具体期限。

各框架的要求

框架	日志与审计	链接
NIST CSF 2.0	PR.PS-04DE.AE-03	主题定义
ISO 27001	A.8.15A.8.17	对照映射
CIS v8.1	CIS 8.2CIS 8.10CIS 3.14CIS 8.1CIS 8.3CIS 8.4CIS 8.5CIS 8.7CIS 8.8CIS 8.12	对照映射
SOC 2	CC7.2	编辑说明
PCI DSS	10.2.110.3.210.5.110.6.1	对照映射
CMMC	AU.L2-3.3.1AU.L2-3.3.2AU.L2-3.3.7	对照映射
800-53	AU-2AU-3AU-11AU-12	对照映射
HIPAA	§164.312(b)	对照映射
GDPR	—	本站数据中无映射
NIS2	3.2	对照映射
Essential Eight	ISM-1815ISM-1660ISM-1509ISM-1683ISM-1623	编辑说明

完整详情及每条关联的依据： 日志与审计 跨框架对照 →

记录什么

最具体的框架会列出事件清单。PCI DSS 要求日志需记录：个人对持卡人数据的访问、所有管理操作、对日志本身的访问、无效访问尝试、身份认证凭据的变更、日志的启动和停止，以及系统级对象的创建和删除（10.2.1.1 至 10.2.1.7），并且每条记录都要包含用户、类型、时间、结果和来源（10.2.2）。CIS Controls 增加了详细的 DNS、URL 和命令行日志（8.5 至 8.8）。SP 800-53 和 CMMC 要求你定义需要记录的事件（AU-2；AU.L2-3.3.1）。ISO 27001（A.8.15）和 SOC 2（CC7.2）要求日志记录与你的风险相匹配。

日志保留多久

框架	保留期限
PCI DSS	至少 12 个月，其中最近三个月需可立即调取（10.5.1）
CIS Controls	至少 90 天（8.10）
SP 800-53	由你自行定义（AU-11）
CMMC Level 2	只要监控、分析、调查和报告所需即可（AU.L2-3.3.1）
ISO 27001、SOC 2	未作规定；由你的风险评估和法律义务决定
HIPAA	对日志未作规定（六年规则适用于文档）

如何选择保留期限

如果 PCI DSS 适用于你环境的任何部分，12 个月、其中三个月随时可查显然是合理的基线，并且完全满足 CIS 的最低要求。对其他所有情况，它也是一个合理的默认值：时间足够长，可以调查数月后才被发现的事件（而许多事件正是如此），同时又足够短，存储成本可以承受。根据你所在行业的法律和合同要求进行调整，并记录决策及其理由，这正是 ISO 和 SOC 2 审计人员会查看的内容。

保留什么，而不只是保留多久

保留期限适用于对调查至关重要的日志。一种实用的分级方式如下：

• 安全相关日志（身份认证、特权操作、防火墙和 EDR 事件、敏感数据访问）：完整的保留期限，并防止被篡改。
• 运维日志（应用调试输出、性能指标）：保留期限较短，由工程需求决定。
• 包含个人数据的日志：出于安全目的保留足够长的时间，但不超过必要期限，以满足 GDPR 的存储限制原则。

将这些分级写入日志策略，使保留决策清晰可见且经得起检验。

核心要点

• 十一个框架中有十个要求审计日志。
• 只有 PCI DSS 和 CIS 规定了保留期限。
• 12 个月，其中三个月可立即调取，是一个安全的默认值。
• 保护日志免遭篡改，并审查安全事件；PCI DSS 要求每日审查。

保留之外

• 保护日志免遭篡改（PCI 10.3.2、CMMC AU.L2-3.3.8）：采用一次写入存储，或带有受限访问权限的集中式日志平台。
• 同步时钟（PCI 10.6.1、CIS 8.4、CMMC AU.L2-3.3.7），否则跨系统的事件关联将失败。
• 审查日志：PCI 要求每日审查安全事件（10.4.1）；其他大多数框架期望定期审查，通常通过自动化方式进行。

日志与审计主题页面列出了每项要求及其来源，相关的 SIEM / SOC 主题涵盖分析内容。差距分析可对任意两个框架进行全面比较。

常见问题

PCI DSS 要求日志保留多长时间？

至少 12 个月的审计日志历史记录，其中最近三个月需可立即用于分析（10.5.1）。

HIPAA 是否规定了日志保留期限？

否。安全规则要求审计控制（§164.312(b)），但未规定日志保留期限。其六年保留要求适用于政策等必需文档，而非审计日志。