Published 8 mars 2026
By Emre SalmanogluGestion des journaux : le guide complet pour les equipes conformite et securite
Decouvrez comment mettre en oeuvre une gestion des journaux conforme aux exigences ISO 27001, SOC 2, NIS2 et DORA. Couvre la collecte, la retention, l'analyse des journaux, l'integration SIEM et les preuves de conformite.
gestion des journaux
journalisation
SIEM
piste d'audit
conformite
Qu'est-ce que la gestion des journaux ?
La gestion des journaux est la pratique systematique de collecte, centralisation, stockage et analyse des donnees de journalisation generees par les systemes, applications et equipements reseau de l'environnement informatique d'une organisation. Les journaux fournissent la piste d'audit qui permet la surveillance de la securite, l'investigation des incidents, les preuves de conformite et la visibilite operationnelle.
Pour les organisations soumises a des exigences de conformite, la gestion des journaux est un controle fondamental exige par ISO 27001, SOC 2, NIS2 et DORA pour demontrer que les evenements de securite sont enregistres, surveilles et disponibles pour audit.
Sources de journaux
| Source | Types de journaux | Exemples |
|---|---|---|
| Systemes d'exploitation | Authentification, evenements systeme, execution de processus | Journal d'evenements Windows, syslog/journald Linux |
| Applications | Actions utilisateurs, transactions, erreurs | Journaux de serveur web, journaux d'audit applicatifs |
| Equipements reseau | Flux de trafic, regles de pare-feu, requetes DNS | Journaux de pare-feu, journaux de proxy, donnees de flux |
| Plateformes cloud | Appels API, modifications de ressources, evenements IAM | AWS CloudTrail, Azure Activity Log, GCP Audit |
| Outils de securite | Alertes, detections, resultats d'analyse | EDR, scanners de vulnerabilites, WAF |
| Bases de donnees | Requetes, modifications de schema, operations d'administration | Journaux d'audit, journaux de requetes lentes |
| Systemes d'identite | Authentification, MFA, evenements SSO | Journaux IdP, evenements Active Directory |
Architecture de gestion des journaux
| Composant | Fonction | Exemples |
|---|---|---|
| Agents de collecte | Collectent les journaux aupres des sources | Fluentd, Filebeat, rsyslog, agents cloud natifs |
| Transport | Transmettent les journaux de maniere securisee vers la plateforme centrale | Kafka, AWS Kinesis, syslog-TLS |
| Traitement | Analysent, normalisent, enrichissent les donnees de journal | Logstash, Fluentd, pipelines ETL cloud |
| Stockage | Stockent les journaux avec la retention appropriee | Elasticsearch, S3, Azure Blob, Splunk |
| Analyse | Recherchent, correlent et visualisent les journaux | Kibana, Splunk, Grafana, outils d'analyse cloud |
| Alertes | Notification en temps reel sur les evenements critiques | Regles SIEM, CloudWatch Alarms, PagerDuty |
Exigences de retention des journaux
| Referentiel | Retention minimale | Retention recommandee |
|---|---|---|
| ISO 27001 | Basee sur les risques (generalement 12 mois) | 1-3 ans |
| SOC 2 | Periode d'audit (12 mois) | 1-2 ans |
| NIS2 | Suffisante pour l'investigation | 12-18 mois |
| DORA | 5 ans pour les incidents TIC | 5 ans |
| RGPD | Proportionnee a la finalite | 6-12 mois pour les journaux d'acces |
| PCI DSS | 12 mois (3 mois immediatement disponibles) | 12 mois |
Evenements essentiels a journaliser
| Categorie d'evenement | Ce qu'il faut journaliser | Pourquoi |
|---|---|---|
| Authentification | Toutes les tentatives de connexion (succes et echec) | Detecter la force brute, le bourrage d'identifiants |
| Autorisation | Octrois d'acces, refus, escalade de privileges | Detecter les acces non autorises |
| Acces aux donnees | Acces aux donnees et systemes sensibles | Piste d'audit pour la protection des donnees |
| Modifications de configuration | Modifications des systemes, reseaux et applications | Detecter les modifications non autorisees |
| Actions administratives | Toutes les operations privilegiees | Responsabilisation des activites d'administration |
| Evenements de securite | Alertes, violations de politiques, anomalies | Surveillance et reponse de securite |
| Conditions d'erreur | Erreurs applicatives, defaillances systeme | Surveillance operationnelle et detection d'incidents |
Exigences de conformite
Correspondance avec les referentiels
| Exigence | ISO 27001 | SOC 2 | NIS2 | DORA |
|---|---|---|---|---|
| Journalisation des evenements | A.8.15 | CC7.2 | Art. 21(2)(g) | Art. 10(2) |
| Protection des journaux | A.8.15 | CC7.2 | Art. 21(2)(g) | Art. 10(2) |
| Synchronisation des horloges | A.8.17 | CC7.2 | Art. 21(2)(g) | Art. 10(2) |
| Revue des journaux | A.8.15 | CC7.2 | Art. 21(2)(b) | Art. 10(1) |
| Retention des journaux | A.8.15 | CC7.2 | Art. 21(2)(g) | Art. 10(2) |
| Journalisation des administrateurs | A.8.15 | CC6.3 | Art. 21(2)(i) | Art. 9(4) |
Preuves d'audit
| Type de preuve | Description | Referentiel |
|---|---|---|
| Politique de journalisation | Politique documentee definissant ce qui est journalise et la duree de conservation | Tous les referentiels |
| Inventaire des sources de journaux | Liste de tous les systemes envoyant des journaux avec les lacunes de couverture | Tous les referentiels |
| Configuration de retention | Preuve des parametres de retention conformes a la politique | Tous les referentiels |
| Controles d'integrite des journaux | Documentation des mecanismes de protection contre la falsification | Tous les referentiels |
| Configuration NTP | Preuve de la synchronisation horaire sur tous les systemes | ISO 27001, SOC 2 |
| Procedures de revue des journaux | Processus documente de revue reguliere des journaux | Tous les referentiels |
| Preuves de controle d'acces | Preuve que l'acces aux journaux est restreint de maniere appropriee | Tous les referentiels |
Erreurs courantes
| Erreur | Risque | Correction |
|---|---|---|
| Tout journaliser sans strategie | Couts excessifs, fatigue d'alertes, lacunes de conformite | Definir les exigences de journalisation par cas d'usage et besoin de conformite |
| Pas de protection de l'integrite des journaux | Les journaux peuvent etre falsifies, compromettant la valeur d'audit | Utiliser un stockage immuable, un hachage cryptographique, une collecte centralisee |
| Horodatages incoherents | Impossible de correler les evenements entre les systemes | Implementer la synchronisation NTP, surveiller les derives d'horloge |
| Pas de processus de revue des journaux | Les journaux sont collectes mais jamais analyses | Etablir des alertes automatisees quotidiennes et une revue manuelle hebdomadaire |
| Retention insuffisante | Les journaux sont supprimes avant les besoins d'investigation ou d'audit | Aligner la retention sur l'exigence du referentiel applicable la plus longue |
| Journaliser des donnees sensibles | Des donnees personnelles ou des identifiants dans les journaux creent une charge de conformite supplementaire | Masquer ou expurger les champs sensibles avant le stockage |
Comment Orbiq accompagne la conformite en gestion des journaux
Orbiq vous aide a demontrer vos controles de gestion des journaux :
- Collecte de preuves — Centralisez les politiques de journalisation, les configurations de retention et les procedures de revue
- Surveillance continue — Suivez la couverture de journalisation et la conformite de retention
- Trust Center — Partagez votre posture de journalisation et de surveillance via votre Trust Center
- Correspondance de conformite — Mappez les controles de journalisation sur ISO 27001, SOC 2, NIS2 et DORA
- Preparation aux audits — Dossiers de preuves pre-constitues pour la revue par les auditeurs
Pour aller plus loin
- SIEM — Analyse de securite s'appuyant sur la gestion des journaux
- Centre d'operations de securite — Operations SOC alimentees par les journaux
- Reponse aux incidents — Utiliser les journaux pour l'investigation des incidents
- Gestion des acces privilegies — Journaliser l'activite privilegiee
- Automatisation de la conformite — Automatiser la collecte de preuves de journalisation