Combien de temps garder les journaux de sécurité ?

Le guide d'hygiène informatique de l'ANSSI indique au moins un an pour les événements critiques pour la sécurité, ou plus selon les obligations légales du secteur d'activité.

Pourquoi synchroniser l'heure des équipements ?

Pour pouvoir corréler les événements entre composants. Le guide d'hygiène demande une source de synchronisation de temps identique, grâce au protocole NTP.

Journaux informatiques : combien de temps les conserver ?

Q: Les conversations d'un assistant IA sont-elles des journaux comme les autres ?

Non. Les journaux techniques (connexions, changements de réglages) servent la sécurité. Les conversations peuvent contenir des données personnelles : leur durée de conservation se décide aussi au regard de la protection des données.

Pour les journaux de sécurité, le guide d'hygiène informatique de l'ANSSI, l'autorité nationale chargée de la sécurité des systèmes d'information, donne un repère simple : les événements critiques pour la sécurité doivent être journalisés et gardés « pendant au moins un an (ou plus en fonction des obligations légales du secteur d'activités) ». Ce n'est pas une durée unique pour tous les journaux : c'est un minimum pour ceux qui servent à comprendre une intrusion. Les journaux d'un assistant IA suivent la même logique, avec une précaution pour les conversations.

(Un journal, ou « log », est le fichier où un équipement ou un logiciel note ce qui s'y passe : connexions, erreurs, changements.)

Ce que demande la règle 36

La règle 36 du guide d'hygiène, « Activer et configurer les journaux des composants les plus importants », procède en trois temps.

1. Choisir les composants critiques : équipements réseau et de sécurité, serveurs critiques, postes d'utilisateurs sensibles.

2. Régler la journalisation de chacun : format, fréquence de rotation, taille maximale des fichiers, catégories d'événements enregistrés.

3. Journaliser au moins :

Composant	Événements cités par le guide
Pare-feu	Paquets bloqués
Systèmes et applications	Authentifications et autorisations (échecs et succès), arrêts inopinés
Services	Erreurs de protocoles (par exemple 403, 404 et 500 pour le web), traçabilité des flux aux interconnexions

Le guide ajoute une condition souvent oubliée : tous les composants doivent avoir la même source de temps, grâce au protocole NTP (protocole de synchronisation de l'heure), sinon on ne peut pas reconstituer l'ordre des événements.

Au niveau renforcé, il recommande de centraliser les journaux sur un dispositif dédié : recherche automatisée d'événements suspects, archivage longue durée, et protection contre un attaquant qui voudrait effacer ses traces.

Pourquoi c'est une mesure prioritaire

« Accroître la supervision de sécurité » est la deuxième des cinq mesures cyber préventives prioritaires de l'ANSSI (17/05/2023). Sans journaux, il n'y a rien à superviser. Pour aller plus loin, l'ANSSI publie un guide dédié à l'architecture d'un système de journalisation (listé sur MesServicesCyber le 15/11/2026).

Ce que l'assistant IA du client change

La recommandation R29 du guide de l'ANSSI pour les systèmes d'IA générative (29/04/2024) est courte : « Journaliser l'ensemble des traitements réalisés au sein du système d'IA ». Pour un assistant chez un client, distinguez trois familles :

Famille	Exemples	À quoi elle sert	Durée
Journaux d'administration	Connexions à la console, changements de réglages, ajout ou retrait de documents, création de comptes	Sécurité : savoir qui a changé quoi	Repère du guide d'hygiène : au moins un an
Journaux d'accès	Connexions des utilisateurs, échecs d'authentification	Sécurité : repérer un compte compromis	Au moins un an
Conversations	Questions posées, réponses données, documents cités	Qualité des réponses, enquête après une erreur	À décider avec le client au regard de la protection des données

Les conversations peuvent contenir des données personnelles, parfois sensibles. Leur durée de conservation ne se règle pas avec le repère « au moins un an » : décidez-la avec le client, et faites-la valider par un juriste. Gardez plus longtemps ce qui sert la sécurité, moins longtemps ce qui n'est que du contenu.

Les questions à poser à l'éditeur

Un assistant hébergé par un éditeur journalise chez l'éditeur. Avant de choisir (voir le questionnaire de sécurité) :

Quels événements sont journalisés, dans chaque famille ?
Combien de temps sont-ils gardés ?
Pouvez-vous les consulter, les exporter, les envoyer vers le dispositif central du client ?
L'heure est-elle donnée avec le fuseau, pour corréler avec vos autres journaux ?
Qui, chez l'éditeur, peut lire les conversations ?

Faire vivre les journaux

Des journaux que personne ne lit ne protègent pas. Inscrivez dans votre fiche de service une lecture mensuelle courte :

connexions d'administration inhabituelles sur l'assistant ;
comptes encore actifs après un départ ;
documents ajoutés ou retirés sans demande du client ;
échecs d'authentification répétés.

En cas d'incident, la règle 40 du guide d'hygiène prévoit de consigner tout incident dans un registre centralisé ; les journaux en sont la matière première (voir le plan de continuité).