En une phrase. La journalisation des événements de sécurité est une exigence transverse : ANSSI PA-022 « Recommandations de sécurité pour la journalisation » (décembre 2022), article 32 RGPD, article 21 NIS 2, ISO 27001 A.8.15. Sans logs centralisés, datés, intègres et conservés 6 à 12 mois, aucune investigation post-incident n’est possible et l’organisation s’expose à des sanctions (jusqu’à 10 M€ ou 2 % du CA mondial pour entités essentielles NIS 2).
La CNIL recommande 6 mois minimum de rétention des logs d’accès aux données personnelles (recommandation CNIL sur la journalisation, délibération de référence 2021). L’ANSSI recommande 12 mois minimum pour les logs de sécurité dans le guide PA-022. NIS 2 (art. 21 §2g) impose la « détection et la gestion des incidents » qui inclut implicitement une journalisation.
Ce guide s’adresse au RSSI ou au DSI qui doit arbitrer entre ce qu’il faut journaliser, ce qu’il ne faut surtout pas journaliser, et combien de temps conserver le reste. Il croise les recommandations de l’ANSSI, la position de la CNIL sur les durées, et les conséquences RGPD d’un dispositif de traçabilité — car les journaux constituent eux-mêmes un traitement de données personnelles. La politique de journalisation n’a de sens qu’adossée à une PSSI qui fixe les responsabilités et à une cartographie du système d’information qui identifie les sources à couvrir.
Points clés
- L’ANSSI publie le guide PA-022 v2.0 (décembre 2022) comme référence pour la journalisation.
- La CNIL exige une rétention minimale de 6 mois, l’ANSSI 12 mois pour les logs sécurité.
- Les logs doivent être horodatés (NTP sécurisé), intègres (signature ou WORM) et centralisés.
- Un SIEM est de fait obligatoire pour les entités essentielles NIS 2.
- L’accès aux logs est soumis au RGPD (les logs contiennent des données personnelles).
1. Cadre juridique de la journalisation
| Texte | Article | Exigence |
|---|---|---|
| RGPD | Art. 32 | Mesures appropriées (sous-entendu : traçabilité) |
| NIS 2 | Art. 21 §2(g) | Détection, gestion des incidents |
| DORA | Art. 10-12 | Détection, journalisation, traçabilité |
| LPM | Art. L1332-6-1 | OIV : qualification produit de détection |
| Code monétaire | Art. L561-2 | Lutte anti-blanchiment, traçabilité 5 ans |
2. Référentiel ANSSI : PA-022 v2.0
Le guide « Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory » couvre :
- Politiques d’audit (audit avancé Windows)
- Événements critiques à journaliser (EID list)
- Centralisation (collecteurs WEF, agents)
- Conservation et intégrité
L’ANSSI publie également PA-014 « Recommandations sur la journalisation des systèmes Linux » (2014, toujours référente).
3. Événements à journaliser : la liste minimale
L’ANSSI distingue 6 familles :
- Authentification : succès, échec, déverrouillage, changement mot de passe
- Autorisation : accès refusé, élévation de privilèges, sudo
- Administration : création/suppression compte, modification droits, GPO
- Configuration système : modification de politique, désactivation antivirus
- Réseau : flux refusés (firewall), connexions VPN, requêtes DNS suspectes
- Application : accès aux données sensibles, exports massifs, requêtes SQL anormales
Pour Active Directory, l’ANSSI fournit la liste des Event IDs prioritaires : 4624, 4625, 4634, 4648, 4672, 4720, 4724, 4732, 4768, 4769, 4776, 5136, 5137, 5141.
Pour chaque événement, cinq attributs sont indispensables et suffisants dans la plupart des cas : l’horodatage avec fuseau, l’identifiant de la source (machine, service, adresse), l’identité de l’acteur, l’action tentée, et le résultat (succès ou échec). Un journal qui n’enregistre que les succès est aveugle exactement là où l’attaquant se manifeste d’abord : dans la séquence d’échecs qui précède la compromission.
Ce qu’il ne faut jamais journaliser
C’est la moitié manquante de toutes les politiques de journalisation, et la source d’un contentieux fréquent : un journal trop bavard transforme une mesure de sécurité en manquement au RGPD. Le principe de minimisation de l’article 5 §1 c) s’applique aux journaux comme au reste.
| À proscrire dans les journaux | Pourquoi | Que faire à la place |
|---|---|---|
| Mots de passe, même erronés | Les utilisateurs se trompent de champ : le journal capture le mot de passe en clair | Journaliser l’événement d’échec, jamais le secret saisi |
| Jetons de session, clés d’API, secrets | Un journal compromis devient un accès valide | Empreinte tronquée ou identifiant de jeton |
| Numéros de carte bancaire, cryptogrammes | Interdit par PCI DSS, et sans utilité de sécurité | Six premiers et quatre derniers chiffres au maximum |
| Contenu des communications (messages, pièces jointes) | Correspond à une interception, disproportionnée pour tracer un accès | Métadonnées : qui, quand, quel objet, quel volume |
| Données sensibles de l’article 9 issues des champs métier | Un log applicatif recopiant un dossier médical crée un second traitement de santé | Identifiant technique de l’enregistrement consulté |
| Corps complet des requêtes SQL ou HTTP en production | Réplique la base dans les journaux | Requête normalisée, sans les valeurs |
La règle opérationnelle tient en une phrase : un journal doit permettre de reconstituer qui a fait quoi, jamais de reconstituer les données elles-mêmes. Cette distinction est aussi ce qui rend un dispositif de traçabilité acceptable vis-à-vis des représentants du personnel : on trace les accès, pas le contenu du travail.
4. Centralisation : SIEM et collecteurs
Trois architectures :
| Architecture | Pour | Coût |
|---|---|---|
| Syslog centralisé (rsyslog, syslog-ng) | PME, moins de 500 postes | Faible |
| SIEM open source (Wazuh, Elastic Security, Graylog) | ETI, 500-5000 postes | Moyen |
| SIEM commercial (Splunk, QRadar, Sentinel) | Grands comptes, OIV/OSE | Élevé |
L’ANSSI qualifie certains produits Détection au sens LPM : Gatewatcher Trackwatch, Sekoia.io XDR, Thales Cybels Sensor.
5. Horodatage : NTP authentifié
Sans horodatage fiable, les logs sont inexploitables. Recommandations ANSSI :
- NTPv4 avec authentification (clés symétriques ou NTS depuis 2020)
- Serveurs internes synchronisés sur PTP ou GPS (stratum 1)
- Pas de NTP public direct pour les systèmes critiques (risque MITM)
L’ANSSI recommande l’utilisation de NTS (Network Time Security) depuis RFC 8915 (2020).
6. Intégrité des logs
Pour qu’un log soit opposable en justice, son intégrité doit être garantie :
- Signature cryptographique des fichiers journaux (rotation + sceau)
- Stockage WORM (Write Once Read Many) : LTO-9, AWS S3 Object Lock
- Hachage chaîné (style blockchain interne) à chaque rotation
- Séparation des rôles : l’admin du système journalisé n’a pas accès aux logs
C’est crucial en cas d’attaque interne (insider threat).
La séparation des rôles est la mesure la moins coûteuse et la plus souvent absente. Un administrateur système qui peut effacer les journaux du serveur qu’il administre annule à lui seul l’intérêt du dispositif : plus rien ne prouve ce qui s’est passé, et la traçabilité ne vaut que ce que vaut la loyauté du dernier administrateur. Le modèle cible tient en trois règles. Un, la collecte pousse les événements vers un collecteur distinct, dans une zone réseau que les systèmes journalisés ne peuvent pas atteindre en écriture au-delà du flux de journalisation lui-même. Deux, les droits sur la plateforme de journalisation sont détenus par une équipe différente de celle qui exploite les systèmes surveillés — en pratique le SOC ou la fonction sécurité, pas la production. Trois, les accès aux journaux sont eux-mêmes journalisés, sur un support que leurs détenteurs ne contrôlent pas.
Ajoutez-y une purge automatique à échéance : la sécurité des journaux ne consiste pas seulement à empêcher leur modification, elle consiste aussi à garantir leur disparition à la date prévue. Une conservation indéfinie « par oubli » est un manquement, même quand elle résulte d’une bonne intention. Les mêmes exigences de disponibilité s’appliquent d’ailleurs aux journaux qu’au reste du système : leur restauration doit être testée dans le cadre du plan de continuité d’activité, faute de quoi l’investigation post-incident se fera sans eux.
7. Rétention : combien de temps conserver ?
| Type de log | Durée CNIL | Durée ANSSI | Durée NIS 2 |
|---|---|---|---|
| Authentification | 6 mois | 12 mois | 12 mois minimum |
| Accès données personnelles | 6 mois | 12 mois | n/a |
| Firewall / proxy | 1 an | 1 an | 1 an |
| AD / privilèges | 1 an | 3 ans | 3 ans |
| Forensics (sur incident) | Indéfini | Jusqu’à clôture | Jusqu’à clôture |
La CNIL a toléré jusqu’à 5 ans pour les logs LCB-FT (lutte anti-blanchiment).
Le principe des six mois et ses exceptions
La durée de six mois n’est pas dans un texte : c’est la position constante de la CNIL, exprimée dans sa recommandation relative aux mesures de journalisation. Son raisonnement mérite d’être compris, parce qu’il détermine ce que vous pouvez négocier. Six mois représentent l’équilibre entre l’utilité opérationnelle — le délai moyen entre une compromission et sa détection — et le principe de limitation de la conservation de l’article 5 §1 e). En deçà, l’investigation est impossible ; au-delà, la conservation devient elle-même un risque, puisqu’elle constitue une base de surveillance des personnes.
Les six mois s’appliquent aux journaux d’accès aux données personnelles conservés dans une finalité de sécurité générale. Quatre situations justifient une durée différente, et une seule d’entre elles est discrétionnaire :
| Situation | Durée admissible | Fondement |
|---|---|---|
| Obligation légale spécifique (LCB-FT, données de connexion des opérateurs, comptabilité) | Jusqu’à 5 ans, parfois plus | Le texte sectoriel prime |
| Incident de sécurité en cours d’investigation | Jusqu’à la clôture, y compris judiciaire | Constitution de preuve, intérêt légitime |
| Journaux d’administration et de comptes à privilèges | 1 à 3 ans selon la criticité | Risque accru, recommandations ANSSI et référentiels sectoriels |
| Analyse statistique de la charge ou de la disponibilité | Illimitée si anonymisée | Ce ne sont plus des données personnelles |
Deux erreurs fréquentes. La première : conserver l’intégralité des journaux à la durée la plus longue, « pour simplifier ». Une durée unique appliquée à tous les gisements est le contraire d’une durée justifiée, et c’est le premier point qu’un contrôle relève. La seconde : appliquer une durée courte à des journaux dont l’organisation a réellement besoin plus longtemps, puis la contourner par des sauvegardes conservées indéfiniment. La durée de conservation qui compte est la durée effective, sauvegardes comprises.
Le paramétrage recommandé est un archivage en deux temps : conservation active en base chaude pour la période d’exploitation courante (30 à 90 jours, indexée, requêtable par le SOC), puis archivage froid chiffré pour le solde de la durée, avec restauration sur demande motivée. Cela divise le coût de stockage et réduit mécaniquement la surface d’accès aux journaux les plus anciens.
8. Logs et RGPD : protéger ce que vous collectez
Les logs contiennent des données personnelles (login, IP, horodatage). À ce titre :
- Mention dans le registre des traitements (RGPD art. 30)
- Information des utilisateurs (charte informatique, RH)
- Accès restreint (RSSI, SOC, audit)
- Durée de conservation justifiée dans la politique
- Sécurité renforcée (chiffrement, WORM)
Le point le plus souvent oublié est la base légale. Un dispositif de journalisation repose en général sur l’intérêt légitime de l’article 6 §1 f) — assurer la sécurité du système d’information — ou sur l’obligation légale lorsqu’un texte sectoriel l’impose. Le consentement est exclu : un salarié n’est pas en position de refuser. L’intérêt légitime suppose un test de mise en balance écrit, qui documente précisément ce qui rend le dispositif proportionné : périmètre limité aux événements de sécurité, absence de contenu, durée bornée, accès restreint, absence d’usage disciplinaire hors procédure.
Deux conséquences pratiques en découlent. D’une part, l’information des personnes doit être spécifique : une ligne dans la charte informatique décrivant les événements journalisés, la durée et les destinataires, plus l’information-consultation du CSE au titre de l’article L. 2312-38 du code du travail avant la mise en place de tout moyen permettant un contrôle de l’activité. Un dispositif non porté à la connaissance des salariés produit des journaux inopposables en droit du travail, quelle que soit leur qualité technique. D’autre part, les journaux relèvent du droit d’accès : une personne peut demander les traces la concernant, et l’organisation doit pouvoir extraire ces traces sans divulguer celles des autres. C’est un argument de plus en faveur d’une indexation propre plutôt que d’un stockage en vrac.
Les autorités ont sanctionné dans les deux sens, ce qui est la meilleure démonstration que la journalisation est un exercice d’équilibre. La CNIL a sanctionné Spartoo (délibération SAN-2020-003, 250 000 €) pour un enregistrement systématique et intégral des conversations téléphoniques de son centre d’appels — trop de traçabilité, sans justification. À l’inverse, l’absence de traçabilité des accès administrateurs est un manquement classique à l’article 32 relevé lors des contrôles sécurité. Trop journaliser et pas assez journaliser exposent au même article.
9. SOC : organisation humaine
Un SIEM sans équipe est inutile. L’ANSSI recommande pour un SOC opérationnel :
- 24/7 pour OIV, banques, hôpitaux universitaires
- 8/5 acceptable pour ETI non régulées
- Astreinte SOC pour le reste
- Effectif minimum : 4 ETP pour un 8/5, 12 ETP pour un 24/7
Qualification ANSSI PRIS (Prestataires de Réponse aux Incidents de Sécurité) pour externalisation : 8 prestataires qualifiés en 2024.
10. Détection : règles SIEM essentielles
Top 10 des règles à implémenter en priorité :
- Multiples échecs d’authentification (brute force)
- Connexion depuis pays inhabituel (geo-velocity)
- Élévation de privilèges
- Création de compte admin
- Désactivation antivirus / EDR
- Exfiltration volumineuse (plus de 1 Go sortants)
- Requête DNS vers domaine malveillant (threat intel)
- Connexion VPN hors horaire
- PowerShell encodé / obfusqué
- Accès massif aux fichiers (signature ransomware)
11. Sanctions et jurisprudence
- CNIL 2020 — Spartoo (SAN-2020-003) : 250 000 € — enregistrement intégral et permanent des appels du centre de relation client, conservation excessive : la traçabilité de trop
- CNIL 2021 — Brico Privé (SAN-2021-008 du 14 juin 2021) : 500 000 € — manquements à l’article 32 et aux durées de conservation, dans un dossier où la maîtrise des accès était en cause
- CNIL 2023 — Cityscoot (SAN-2023-003) : 125 000 €, dont 100 000 € au titre du RGPD — collecte de données de géolocalisation toutes les 30 secondes, soit une traçabilité disproportionnée au regard de la finalité
- NIS 2 (régime français) : jusqu’à 10 M€ ou 2 % du CA mondial pour entités essentielles
La lecture transversale de ces décisions est constante : ce que sanctionne l’autorité n’est jamais le fait de journaliser, mais l’absence de justification de ce qui est enregistré et de la durée pendant laquelle il l’est. Une politique de journalisation d’une page, datée et approuvée, qui énumère les événements collectés, leur finalité et leur durée, coûte une demi-journée et retire la quasi-totalité de ce risque.
12. Erreurs fréquentes en audit
- Logs locaux uniquement (effacés par l’attaquant)
- Horloges désynchronisées (corrélation impossible)
- Rétention inférieure à 6 mois
- Aucun cas d’usage SIEM documenté
- Logs verbeux non filtrés (plus de bruit que de signal)
- Pas de revue mensuelle des alertes
FAQ
Quelle durée minimale de conservation des logs ?
La CNIL recommande 6 mois minimum, l’ANSSI 12 mois pour les logs de sécurité. Pour les comptes à privilèges (AD), 3 ans. Pour LCB-FT, 5 ans. Au-delà, justification spécifique nécessaire (art. 5 §1e RGPD : limitation de la conservation).
Un SIEM est-il obligatoire ?
Aucun texte ne nomme explicitement « SIEM », mais NIS 2 (art. 21) impose détection et gestion d’incidents. De fait, sans SIEM ni équivalent (XDR, MDR managé), une entité essentielle ne peut prouver sa conformité. Coût d’entrée Wazuh open source : 0 € + 1 ETP.
Les logs doivent-ils être chiffrés ?
Au transit : oui, TLS obligatoire pour les flux syslog/SIEM. Au repos : recommandé si les logs contiennent des données sensibles. Surtout, l’intégrité prime sur la confidentialité — WORM ou signature cryptographique.
Que journaliser pour Active Directory ?
L’ANSSI PA-022 liste les Event IDs prioritaires : 4624 (logon), 4625 (échec logon), 4672 (privilèges spéciaux), 4720 (création compte), 4732 (ajout groupe), 4768/4769 (Kerberos), 5136 (modification objet AD). Activer l’audit avancé Windows, pas l’audit de base.
Comment garantir l’intégrité des logs face à un attaquant ?
Trois mesures : (1) centralisation immédiate vers un collecteur isolé (l’attaquant n’a pas accès), (2) stockage WORM ou Object Lock (impossible de modifier rétroactivement), (3) signature cryptographique ou hachage chaîné. Combinés, les logs deviennent opposables en justice.