Journalisation & DétectionCe qu’exigent NIS 2, DORA, ISO 27001 et HDS
On ne peut pas protéger ce que l’on ne voit pas. La journalisation des événements de sécurité et la capacité de détection des activités malveillantes constituent les yeux et les oreilles de toute organisation face aux cybermenaces. Sans journaux d’événements correctement collectés, centralisés et analysés, une intrusion peut passer inaperçue pendant des semaines, voire des mois, laissant à l’attaquant tout le temps nécessaire pour s’implanter durablement dans le système d’information.
Qu’est-ce que la journalisation et la détection cyber ?
L’ANSSI souligne l’importance stratégique de la journalisation dans ses guides de référence : les journaux d’événements servent à détecter des incidents de sécurité en temps réel, à analyser des incidents a posteriori pour comprendre le cheminement d’une attaque, et à évaluer l’impact d’une compromission. Ils constituent également une source de preuves indispensable pour les investigations numériques et les éventuelles procédures judiciaires.
La journalisation et la détection sont aujourd’hui des exigences explicites de la quasi-totalité des référentiels de cybersécurité : ISO 27001, NIS 2, DORA, LPM, HDS, PCI DSS… avec des obligations précises en matière de durée de conservation, de protection contre l’altération et d’analyse automatisée. DSI, RSSI, responsables conformité : cette page vous présente les exigences clés à mettre en œuvre et leur articulation avec les grands référentiels en vigueur.
La journalisation désigne la collecte et la conservation des traces numériques générées par les systèmes d’information : connexions, actions des utilisateurs, événements système, alertes de sécurité, accès aux données… Ces traces, appelées logs, constituent la mémoire du système d’information et permettent de reconstituer la chronologie des événements en cas d’incident.
La détection est la capacité à analyser ces journaux en temps réel ou à court terme pour identifier des comportements anormaux, des tentatives d’intrusion ou des activités malveillantes. Elle repose sur des outils et des processus qui corrèlent les événements issus de sources multiples pour générer des alertes pertinentes et déclencher une réponse adaptée.
Selon le glossaire de l’ANSSI, la détection est l’ensemble des mesures mises en œuvre permettant d’observer le système d’information pour identifier des événements de sécurité. Elle constitue le premier maillon de la chaîne de réponse aux incidents.
Les six familles d’événements à journaliser
L’ANSSI distingue six familles d’événements qui doivent faire l’objet d’une journalisation systématique :
- Les événements d’authentification : connexions réussies et échouées, changements de mots de passe
- Les événements d’autorisation : accès aux ressources, élévations de privilèges, modifications de droits
- Les événements d’administration : actions des comptes administrateurs, modifications de configuration
- Les événements de configuration système : installation de logiciels, modifications de paramètres
- Les événements réseau : connexions entrantes et sortantes, flux suspects
- Les événements applicatifs : erreurs, accès aux données sensibles, opérations critiques
Les points de contrôle communs
Cinq exigences fondamentales structurent toute démarche de journalisation et de détection conforme aux standards reconnus.
La journalisation des événements de sécurité
La première exigence est la mise en place d’une journalisation exhaustive et cohérente des événements de sécurité sur l’ensemble du système d’information. Chaque événement journalisé doit comporter les informations minimales permettant son exploitation : identifiant de l’auteur de l’action, date et heure précises de l’opération, nature de l’action réalisée, et identifiant de l’équipement ou du système concerné.
L’ANSSI recommande l’utilisation d’un serveur de temps NTP interne pour assurer la cohérence des horodatages dans les logs. Des horloges non synchronisées entre les différents équipements peuvent en effet rendre l’analyse forensique très difficile, voire impossible, en cas d’incident.
La CNIL recommande d’enregistrer les opérations de création, consultation, partage, modification et suppression des données personnelles, en conservant l’identifiant de l’auteur et la date et heure de l’opération. Les utilisateurs doivent être informés de la mise en place du dispositif de journalisation, idéalement lors de l’authentification ou de l’accès au système.
La centralisation des logs (SIEM)
La collecte de logs sur chaque équipement individuellement ne suffit pas. Pour être exploitables, les journaux doivent être centralisés dans un système dédié qui permet leur corrélation et leur analyse globale. C’est le rôle du SIEM (Security Information and Event Management).
Le SIEM collecte les événements issus de l’ensemble des composants du système d’information, les normalise dans un format commun, les corrèle pour identifier des schémas d’attaque, et génère des alertes lorsqu’un comportement anormal est détecté. L’ANSSI recommande le déploiement d’un SIEM pour les entités soumises à NIS 2, et le considère comme un outil indispensable pour toute organisation souhaitant disposer d’une capacité de détection efficace.
Les outils complémentaires au SIEM incluent l’EDR (Endpoint Detection and Response) pour la surveillance des terminaux, le NDR (Network Detection and Response) pour la détection des mouvements latéraux sur le réseau, et le SOAR (Security Orchestration, Automation and Response) pour l’automatisation de la réponse aux alertes.
La conservation conforme aux obligations légales
Les journaux doivent être conservés pendant une durée suffisante pour permettre la détection a posteriori des incidents et répondre aux obligations réglementaires. Les durées de conservation varient selon les référentiels applicables et la nature des données journalisées.
La CNIL recommande une durée de conservation des données de journalisation comprise entre six mois et un an pour les actions d’accès, création, modification et suppression sur les traitements de données personnelles. Pour les traitements soumis à des mesures de contrôle interne, cette durée peut être portée à trois ans si nécessaire. L’ANSSI recommande quant à elle une conservation de 12 mois pour les logs de sécurité.
La protection des journaux contre l’altération
Les journaux ne sont utiles que si leur intégrité est garantie. Un attaquant qui parvient à modifier ou supprimer les logs peut effacer toutes les traces de son intrusion et rendre l’investigation impossible. La protection des journaux contre l’altération est donc une exigence fondamentale.
L’ANSSI recommande d’assurer l’intégrité des logs par des solutions de signature numérique ou de stockage WORM (Write Once Read Many), qui garantissent que les journaux ne peuvent être ni modifiés ni supprimés une fois écrits. Les équipements de journalisation et les informations journalisées doivent être protégés pour empêcher toute opération non autorisée. Cela demande aussi d’inclure des limitations en termes d’accès aux utilisateurs ainsi qu’aux administrateurs de la solution.
La CNIL rappelle également que les journaux ne doivent pas contenir de données personnelles excessives, comme des mots de passe en clair, et que leur utilisation à des fins autres que la sécurité du système d’information constitue un détournement de finalité.
L’analyse et l’alerting automatisés
Collecter des journaux sans les analyser ne sert à rien. La CNIL encourage explicitement l’analyse automatique des données de journalisation pour détecter rapidement les situations anormales. Cette analyse doit être réalisée en temps réel ou à court terme, pour permettre une réaction rapide en cas d’incident.
L’analyse automatisée repose sur des règles de corrélation et des modèles de comportement qui permettent d’identifier les anomalies : tentatives de connexion répétées, accès à des ressources inhabituelles, volumes de données anormaux, connexions depuis des localisations géographiques inattendues… Chaque alerte générée doit être qualifiée et traitée par les équipes de sécurité.
Ce qu’en disent les référentiels
La journalisation et la détection constituent l’une des familles d’exigences les plus transversales de l’ensemble des référentiels de cybersécurité. En structurant une seule fois cette démarche, notamment via ISO 27001, vous progressez simultanément sur l’ensemble de vos obligations réglementaires.
-
PCI DSS
Payment Card Industry Data Security Standard v4.0.1Voir les exigences de PCI DSSL’exigence 10 du standard PCI DSS v4 couvre l’ensemble du dispositif de journalisation pour les environnements de données de cartes de paiement : journalisation des accès aux composants du système, protection des journaux contre la modification, conservation pendant au moins douze mois avec les trois derniers mois immédiatement disponibles, et revue quotidienne des journaux.
-
ISO 27701
Norme ISO/IEC 27701:2019 — PIMSVoir les exigences de ISO 27701Le contrôle A.8.15 de l’ISO 27001 s’applique intégralement dans une dimension protection des données à caractère personnel, complété par l’exigence de journalisation spécifique des traitements de données personnelles. Les accès aux données personnelles doivent être tracés et les journaux conservés conformément aux recommandations de la CNIL.
-
ISO 27001
Norme ISO/IEC 27001:2022Voir les exigences de ISO 27001Les contrôles A.8.15, A.8.16 et A.8.17 couvrent explicitement la journalisation, la surveillance des activités et la synchronisation des horloges. Le contrôle A.8.15 impose la production, la conservation et la protection des journaux d’événements. Le contrôle A.8.16 impose la surveillance des réseaux, systèmes et applications. Le contrôle A.8.17 impose la synchronisation des horloges de l’ensemble des systèmes de traitement de l’information. C’est le référentiel structurant pour bâtir une démarche complète et documentée.
-
HDS
Hébergement de Données de SantéVoir les exigences de HDSLe référentiel Hébergeur de Données de Santé impose la journalisation des accès aux données de santé hébergées, avec des durées de conservation qui varient selon la nature des données concernées. La durée de trois ans est souvent citée en référence, mais elle doit être adaptée au contexte spécifique de chaque hébergement. Cette exigence vise à garantir la traçabilité de l’ensemble des accès aux données de santé, conformément aux obligations de confidentialité applicables au secteur.
-
LPM / OIV
Loi de Programmation Militaire — OIVVoir les exigences de LPM / OIVLa Loi de Programmation Militaire impose aux Opérateurs d’Importance Vitale de mettre en œuvre des systèmes de détection des incidents de sécurité sur leurs SIIV, opérés par des Prestataires de Détection d’Incidents de Sécurité (PDIS) qualifiés par l’ANSSI. La qualification PDIS atteste que le prestataire maintient une surveillance continue 24h/24, 7j/7, 365 jours par an, avec des données hébergées en France ou en Europe. Les systèmes de détection qualifiés doivent être capables d’analyser les flux échangés entre les SIIV et les systèmes d’information tiers.
-
DORA
Règlement (UE) 2022/2554Voir les exigences de DORALes articles 10 et 11 du règlement DORA imposent aux entités financières des mécanismes de détection des anomalies et des activités anormales liées au risque TIC, ainsi qu’une surveillance continue des systèmes et des réseaux. DORA exige également la mise en place d’une surveillance des comportements anormaux liés au risque TIC, en cohérence avec les exigences de journalisation et de détection.
-
NIS 2
Directive (UE) 2022/2555Voir les exigences de NIS 2L’article 21.2(g) de la directive NIS 2 impose aux entités essentielles et importantes de mettre en place des politiques et procédures relatives à l’utilisation de la cryptographie et, plus généralement, des mesures de surveillance permettant de détecter les incidents de sécurité. L’ANSSI a publié en mars 2026 le Référentiel Cyber France (ReCyF), qui liste des mesures recommandées pour atteindre les objectifs de sécurité fixés par NIS 2, incluant des exigences de surveillance et de détection.
-
SOC 2
System and Organization Controls 2 (AICPA)Voir les exigences de SOC 2Le critère CC7.2 du référentiel SOC 2 évalue la capacité de l’organisation à surveiller son infrastructure et ses systèmes pour détecter les menaces et les anomalies. Une démarche de journalisation centralisée avec analyse automatisée y répond de façon explicite.
-
RGPD
Règlement (UE) 2016/679Voir les exigences de RGPDL’article 32 du RGPD impose au responsable du traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données personnelles. La CNIL a publié une recommandation spécifique sur les mesures de journalisation en novembre 2021, recommandant une conservation entre six mois et un an pour les logs d’accès aux données personnelles, et encourageant l’analyse automatique pour détecter rapidement les utilisations indues. La couverture est partielle : le RGPD n’impose pas de dispositif technique spécifique mais exige que des mesures de traçabilité appropriées soient en place.
Journalisation & Détection en 4 questions
Combien de temps faut-il conserver les logs de sécurité ?
Les durées de conservation varient selon les référentiels applicables. La CNIL recommande entre six mois et un an pour les logs d’accès aux données personnelles, pouvant aller jusqu’à trois ans pour les traitements sous contrôle interne. L’ANSSI recommande 12 mois pour les logs de sécurité. Le référentiel HDS impose trois ans pour les logs d’accès aux données de santé. PCI DSS v4 impose 12 mois avec les trois derniers mois immédiatement disponibles. La durée applicable est celle du référentiel le plus contraignant parmi ceux qui s’appliquent à l’organisation.
Qu’est-ce qu’un SIEM et est-il obligatoire ?
Le SIEM (Security Information and Event Management) est un outil qui collecte, centralise et corrèle les événements de sécurité issus de l’ensemble des composants du système d’information pour détecter les incidents en temps réel. L’ANSSI le considère comme obligatoire pour les entités essentielles soumises à NIS 2. Pour les autres organisations, il constitue une bonne pratique fortement recommandée dès lors que le volume de logs à traiter dépasse les capacités d’une analyse manuelle.
Qu’est-ce que la qualification PDIS et quand est-elle obligatoire ?
La qualification PDIS (Prestataire de Détection d’Incidents de Sécurité) est délivrée par l’ANSSI aux prestataires de services de détection qui répondent à des critères stricts de compétence, de souveraineté et de disponibilité (surveillance 24/7/365). Elle est obligatoire pour les OIV souhaitant externaliser leur capacité de détection sur leurs SIIV dans le cadre de la LPM. Elle constitue également un indicateur de confiance pour toute organisation souhaitant s’appuyer sur un prestataire externe pour sa surveillance de sécurité.
Comment protéger les journaux contre l’altération ?
L’ANSSI recommande le stockage des journaux dans des systèmes WORM (Write Once Read Many), qui garantissent que les logs ne peuvent être ni modifiés ni supprimés une fois écrits. La signature numérique des journaux permet également de détecter toute tentative de modification a posteriori. Les journaux doivent être stockés sur des systèmes distincts des équipements qu’ils surveillent, pour éviter qu’un attaquant ayant compromis un système puisse effacer ses traces.
La valeur ajoutée de Fidens pour votre cybersécurité
Faire appel à Fidens pour votre démarche ISO/IEC 27001, c’est choisir un partenaire expert qui vous accompagne à chaque étape, de la mise en place de votre Système de Management de la Sécurité de l’Information (SMSI) à la pérennisation de votre certification. Grâce à nos consultants expérimentés, nos outils performants comme APOS, et notre approche sur-mesure, nous vous aidons à sécuriser vos informations, renforcer votre conformité, et optimiser vos processus internes.
Avec Fidens, vous ne faites pas qu’obtenir une certification, vous transformez la sécurité de l’information en un véritable levier stratégique pour protéger vos actifs, renforcer la confiance de vos parties prenantes et anticiper les menaces de demain. Contactez-nous dès aujourd’hui pour faire de votre certification un gage de succès durable.
