Rétention des journaux

Définition

La rétention des journaux désigne la durée pendant laquelle une organisation conserve les journaux d'événements collectés par sa journalisation centralisée, ainsi que les modalités techniques de leur archivage et de leur protection contre l'altération ou la suppression. Cette durée varie selon la nature des journaux, leur criticité et les obligations réglementaires applicables : le RGPD n'impose pas de durée fixe mais exige une conservation proportionnée à la finalité, tandis que certains référentiels sectoriels ou contractuels comme PCI DSS exigent explicitement une conservation minimale d'un an pour les journaux liés aux transactions de paiement, avec les trois premiers mois immédiatement accessibles. Une politique de rétention bien définie distingue généralement plusieurs niveaux de stockage : les journaux récents, conservés en ligne dans le SIEM pour une analyse rapide, et les journaux plus anciens, archivés à froid pour des besoins d'investigation numérique ou d'obligations légales, parfois sur plusieurs années. La durée de rétention doit être arbitrée entre valeur probante en cas d'incident, coûts de stockage souvent significatifs au vu du volume généré, et exigences de minimisation des données du RGPD lorsque les journaux contiennent des données à caractère personnel comme des adresses IP. L'intégrité des journaux archivés doit être garantie par des mécanismes de scellement ou de hachage afin de préserver leur valeur en cas de procédure judiciaire.