3 La conservation des journaux de sécurité est une question à laquelle tout SOC finit par devoir répondre formellement, généralement après une demande d’un auditeur ou une enquête qui a manqué d’historique. Si les journaux sont conservés trop peu de temps, les enquêteurs ne peuvent pas reconstituer la manière dont un attaquant est entré. Si tout est gardé indéfiniment, les coûts de stockage grimpent et les données personnelles s’accumulent au-delà de ce que permet le droit de la vie privée. La bonne réponse combine les minimums réglementaires, la réalité du temps de présence des attaquants et une architecture de stockage qui rend la conservation longue abordable. Cet article présente les principales exigences qui façonnent la conservation des journaux de sécurité, la manière dont les organisations structurent la conservation par type de journal et par niveau, et ce que cela implique pour l’architecture du SIEM et du stockage. Il s’agit d’informations générales et non d’un conseil juridique. Pour savoir quoi conserver dans un référentiel central, voir ce qu’est un data lake de sécurité. Les exigences réglementaires et des référentiels Les exigences varient selon le secteur et la juridiction. Exemples courants : PCI DSS. La version 4 du Payment Card Industry Data Security Standard impose de conserver l’historique des journaux d’audit pendant au moins 12 mois, dont au moins les trois derniers mois immédiatement disponibles pour l’analyse (exigence 10.5.1). Administrations fédérales américaines. En mai 2026, le mémorandum M-26-14 de l’OMB a remplacé le mémorandum M-21-31 de 2021 sur la journalisation. Le M-26-14 fixe des seuils minimaux de six mois de journaux consultables pour la surveillance continue des événements et d’un an de données restituables pour la chasse aux menaces, l’enquête, la réponse et l’investigation numérique, contre douze mois de stockage actif et dix-huit mois de stockage froid pour les journaux prioritaires dans le M-21-31. HIPAA. La Security Rule impose des contrôles d’audit qui enregistrent et examinent l’activité des systèmes contenant des informations de santé protégées sous forme électronique. HIPAA impose de conserver certains documents de conformité pendant six ans, et de nombreux acteurs de santé alignent la conservation des journaux sur cette durée. La réglementation des services financiers, comme le règlement européen DORA sur la résilience opérationnelle numérique, impose la journalisation et la surveillance des TIC dans le cadre de la gestion des risques, la durée de conservation étant fixée par les politiques de l’établissement et les attentes des superviseurs. Les référentiels comme l’ISO 27001 et le NIST Cybersecurity Framework imposent la journalisation et la protection des journaux, mais laissent généralement les durées précises à l’appréciation de l’organisation. Les limites liées à la vie privée Les journaux de sécurité contiennent souvent des données personnelles : noms d’utilisateur, adresses IP, adresses e-mail, identifiants d’appareils et activité de navigation. Au titre du RGPD et de lois similaires, les données personnelles ne doivent pas être conservées plus longtemps que nécessaire à leur finalité. La sécurité est une finalité légitime, mais les organisations doivent pouvoir justifier leurs durées de conservation, limiter les accès et supprimer les journaux lorsqu’ils ne sont plus utiles. Cela plaide pour des calendriers de conservation documentés et défendables plutôt que pour un stockage indéfini. Le temps de présence : l’argument opérationnel pour une conservation plus longue La réglementation fixe des minimums, mais ce sont les enquêtes qui fixent les besoins pratiques. Les attaquants restent souvent dans un environnement pendant des semaines ou des mois avant d’être détectés. Lorsqu’un incident est découvert, les enquêteurs ont besoin de journaux qui remontent jusqu’à l’intrusion initiale. Si les journaux ne couvrent que 30 ou 90 jours, le début de l’attaque peut déjà avoir disparu. Le blog de scality.com approfondit ce point dans son article sur le temps de présence des ransomwares et la conservation des sauvegardes (en anglais). La même logique s’applique aux journaux de sécurité : la conservation doit dépasser le temps nécessaire pour détecter une compromission, avec de la marge. Structurer la conservation par type de journal Tous les journaux n’ont pas la même valeur. Un calendrier de conservation pragmatique regroupe les journaux selon leur valeur pour l’enquête et la conformité : Journaux d’authentification et d’identité (annuaires, authentification unique, VPN) : grande valeur pour les enquêtes, souvent conservés le plus longtemps. Télémétrie EDR (détection et réponse sur les terminaux) : grande valeur, grand volume. Journaux de sécurité réseau (pare-feu, proxy, DNS, détection d’intrusion) : grande valeur pour délimiter les incidents. Journaux d’audit cloud (activité du plan de contrôle des plateformes cloud) : grande valeur, essentiels pour les enquêtes dans le cloud. Journaux d’audit des applications et des bases de données : valeur variable selon la sensibilité du système. Journaux opérationnels détaillés et de débogage : faible valeur de sécurité, souvent conservés peu de temps. Chaque groupe reçoit une durée de conservation et un niveau de stockage. Les niveaux chaud, tiède et froid Conserver ne signifie pas tout garder consultable instantanément. La plupart des organisations utilisent des niveaux : Niveau chaud ou consultable : les journaux récents, disponibles pour la détection en temps réel et la recherche rapide, souvent de trois à douze mois selon les exigences. Niveau tiède ou restituable : les journaux plus anciens, consultables avec un certain délai ou restaurés au besoin. Niveau d’archive : la conservation à long terme pour la conformité ou les gels juridiques, rarement consultée. La distinction de PCI DSS entre douze mois conservés et trois mois immédiatement disponibles, comme la distinction fédérale américaine entre données consultables et restituables, reflètent toutes deux ce modèle. Ce que la conservation implique pour l’architecture du SIEM Les coûts de licence et de stockage du SIEM augmentent souvent avec l’ingestion et la conservation. Conserver un an ou plus de journaux volumineux dans un déploiement SIEM classique peut coûter cher. Les architectures qui aident : Le stockage découplé : le SIEM place les données tièdes sur un stockage objet et ne garde qu’un cache local sur les indexeurs, ce qui permet d’allonger la conservation sans ajouter de calcul. Les data lakes de sécurité, qui stockent de grands volumes de journaux dans des formats ouverts sur un stockage objet et permettent à plusieurs outils de les interroger. La conservation hiérarchisée au sein du SIEM, qui déplace les données anciennes vers un stockage moins coûteux tout en les gardant restituables. Le stockage objet est au cœur de ces trois approches, grâce à son faible coût au téraoctet, son évolutivité et son immuabilité. Protéger les journaux conservés La conservation n’a d’intérêt que si les journaux survivent. Les attaquants tentent souvent de supprimer ou de falsifier les journaux pour masquer leur activité. Les protections comprennent : L’immuabilité (en anglais) des journaux stockés, pour qu’ils ne puissent être ni modifiés ni supprimés avant l’expiration de la conservation. Des identifiants distincts pour le stockage des journaux, séparés de ceux des systèmes qui les produisent. La vérification de l’intégrité, pour que toute falsification soit détectée. Des copies hors site ou multisites, pour que les journaux survivent à un incident touchant un site. Les principes sont présentés dans la piste d’audit du stockage (en anglais). La suppression en fin de conservation La suppression défendable compte aussi pour les journaux de sécurité. À l’expiration de la conservation, les journaux contenant des données personnelles doivent être supprimés, sauf gel juridique. Des politiques de cycle de vie (en anglais) automatisées sur le stockage objet peuvent faire expirer les données selon le calendrier, en gardant une trace de ce qui a été supprimé. Estimer l’impact sur le stockage Avant d’adopter un calendrier, estimez ce qu’il coûtera à stocker. Multipliez l’ingestion quotidienne de chaque groupe de journaux par sa durée de conservation, appliquez le taux de compression obtenu par votre SIEM ou votre data lake et ajoutez le surcoût de protection de la plateforme de stockage. Les résultats surprennent souvent les équipes : des journaux détaillés anodins à 30 jours peuvent dominer la capacité à un an, tandis que les journaux d’authentification à forte valeur peuvent avoir un volume modeste. Cet exercice conduit généralement à raccourcir la conservation des sources à faible valeur et à allonger celle des journaux sur lesquels s’appuient réellement les enquêteurs, ce qui est à la fois moins cher et plus utile. Il vaut aussi la peine de modéliser la croissance. Les nouvelles sources de données, l’augmentation du nombre de terminaux et l’extension de l’usage du cloud tendent à accroître l’ingestion chaque année. Un calendrier adapté au stockage actuel peut ne plus l’être l’an prochain : planifiez la capacité de la plateforme de stockage avec une marge de croissance et revoyez les chiffres à chaque intégration d’une source majeure. Un exemple de calendrier de conservation Un calendrier indicatif pour une organisation soumise à PCI DSS et souhaitant couvrir des temps de présence réalistes : Journaux d’authentification, EDR, sécurité réseau et audit cloud : 90 jours en niveau chaud, 12 à 24 mois au total. Journaux d’audit des applications du périmètre : 90 jours en niveau chaud, 12 mois au total. Journaux opérationnels détaillés : 30 jours en niveau chaud, puis suppression. Journaux sous gel juridique : conservés jusqu’à la levée du gel. Adaptez-le à vos obligations réglementaires, à votre appétence au risque et à vos analyses en matière de vie privée. Liste de contrôle : conservation des journaux de sécurité Recenser les exigences réglementaires et contractuelles par juridiction et par secteur. Évaluer les obligations liées aux données personnelles contenues dans les journaux. Fixer une conservation supérieure au temps de présence réaliste des attaquants. Regrouper les journaux par valeur pour l’enquête et attribuer une durée à chaque groupe. Définir des niveaux chaud, tiède et archive avec des délais d’accès clairs. Utiliser un stockage évolutif, comme le stockage objet, pour la conservation longue. Protéger les journaux par l’immuabilité, des identifiants distincts et des contrôles d’intégrité. Automatiser la suppression en fin de conservation, avec prise en charge des gels juridiques. Revoir le calendrier chaque année et après tout incident majeur. En résumé La conservation des journaux de sécurité doit passer trois tests : respecter le minimum réglementaire, couvrir le temps pendant lequel les attaquants peuvent rester indétectés et rester dans les limites de la vie privée. La hiérarchisation permet de garder les journaux récents rapides d’accès et les plus anciens abordables, tandis que le stockage objet rend la conservation longue réaliste et que l’immuabilité préserve les preuves. Formalisez le calendrier, appliquez-le automatiquement et revoyez-le au fil de l’évolution des réglementations et des menaces. Questions fréquentes Combien de temps PCI DSS impose-t-il de conserver les journaux ? PCI DSS version 4 impose au moins 12 mois d’historique des journaux d’audit, dont au moins les trois derniers mois immédiatement disponibles pour l’analyse. Quelles sont les exigences actuelles des administrations fédérales américaines ? Le mémorandum M-26-14 de l’OMB, publié en mai 2026, a remplacé le M-21-31. Il fixe des seuils minimaux de six mois de données consultables et d’un an de données restituables. Le RGPD limite-t-il la conservation des journaux de sécurité ? Le RGPD impose de ne pas conserver les données personnelles plus longtemps que nécessaire. Les journaux de sécurité peuvent être conservés à des fins de sécurité, mais les durées doivent être justifiées et documentées. Pourquoi conserver les journaux au-delà du minimum réglementaire ? Les attaquants peuvent rester longtemps indétectés. Une conservation plus longue aide les enquêteurs à remonter une intrusion jusqu’à son origine. Où stocker les journaux de sécurité à long terme ? Sur un stockage évolutif et économique, souvent un stockage objet, avec l’immuabilité pour empêcher toute falsification et des politiques de cycle de vie pour supprimer selon le calendrier. Pour aller plus loin Les data lakes de sécurité Qu’est-ce qu’un SIEM ? (en anglais) La piste d’audit du stockage (en anglais)
