Hvor længe jeres logs gemmes, afgøres af indstillingen i hvert enkelt system, og den kan være en helt anden end den periode, logpolitikken nævner. Kontrollen består i at læse indstillingen pr. kilde, måle den ældste hændelse, der faktisk ligger i loggen, og holde resultatet op mod den periode, I har besluttet.
SAMSIK’s logvejledning sætter tallet til 13 måneder som minimum, hvis ikke anden lovgivning bestemmer andet. Tallet er vejledende og står ikke i nogen lov, og artiklen bruger den som målestok, fordi den er den eneste danske anbefaling med et tal.
Hvorfor netop en lang periode
Vejledningens begrundelse er, at der kan gå uger og måneder, før et angreb bliver opdaget. Når det sker, skal loggene kunne vise, hvornår det begyndte. Beslutningen om perioden træffes ud fra risikovurdering og regulering og beskrives i logpolitikken.
Vejledningen tilføjer tre praktiske ting. Organisationen skal have lagerplads til den besluttede periode. Opbevaringen bør automatiseres. Og det skal testes, om logs faktisk gemmes så længe som defineret. Det sidste punkt er kontrollen i denne artikel.
SAMSIK peger selv på, at anden regulering kan begrænse, hvor længe oplysninger må gemmes. Logs kan indeholde personoplysninger, og den afvejning hører hjemme i logpolitikken, før perioden sættes.
Andre målestokke uden et fast tal
Forordning 2024/2690 nøjes i bilagets punkt 3.2.5 med at kræve en periode, der er bestemt på forhånd, for både logfiler og deres backup. Længden står ikke. Under DORA lader den delegerede forordning 2024/1774 den finansielle enhed fastsætte perioden ud fra forretnings- og sikkerhedsmål, formålet med logningen og risikovurderingen, også uden et tal.
Den amerikanske #StopRansomware-guide fra CISA og partnere anbefaler at gemme og sikkerhedskopiere logs for kritiske systemer i mindst et år, hvis det er muligt, og nævner mindst 180 dage for to bestemte Windows-logs. Guiden binder ingen danske virksomheder, men tallet ligger tæt på SAMSIK’s.
Statens tekniske minimumskrav nævner direkte, at logs ikke behøver at ligge online. En log kan altså godt ligge i et arkiv, hvis den kan hentes frem igen.
Windows-logs måles i størrelse
En Windows-hændelseslog har ingen periode. Den har en maksimal størrelse og en opbevaringstilstand, der afgør, hvad der sker, når loggen er fuld: enten kasseres nye hændelser, eller de ældste overskrives. Der kan også slås automatisk backup til, når loggen løber fuld.
Indstillingen læses med den indbyggede kommando wevtutil gl efterfulgt af loggens navn, fx Security. Den viser bl.a. maksimal størrelse og tilstand. Men størrelsen siger intet om tid. På en travl domænecontroller kan en log dække få dage, på en stille filserver måneder. Derfor skal tidsdækningen måles ved at finde den ældste hændelse i loggen og sammenligne den med dags dato. Den måling er praksis, og den er det eneste, der viser, om indstillingen holder.
Sendes loggene videre til en central opsamling, er det opsamlingens indstilling, der tæller. Så skal kontrollen gentages der.
Lejeren har sine egne tal
I Microsoft 365 og Entra ID er perioden bestemt af platformen og licensen. Ifølge Microsofts dokumentation, læst november 2026, gemmer Entra ID logon- og auditlog i 7 dage med Free og 30 dage med P1 eller P2. Microsoft 365’s samlede auditlog gemmes 180 dage med Audit (Standard). Begge dele ligger langt under 13 måneder, medmindre loggene eksporteres. Hvordan lejeren kontrolleres, står i logning i lejeren.
Lagerplads og automatik
Vejledningens krav om lagerplads til hele perioden er værd at regne efter. Notér for hver kilde, hvor meget loggen fylder pr. døgn, og gang op til den besluttede periode. Sammenlign med den plads, der faktisk er afsat hos opsamlingen eller i arkivet. Er pladsen for lille, vil systemet enten stoppe med at modtage eller slette de ældste poster, og begge dele sker uden, at nogen bliver spurgt.
Automatikken er det andet led. En eksport, der kræver, at en tekniker flytter filer hver måned, holder sjældent et helt år. Se efter, at flytningen sker af sig selv, og at en fejl i flytningen giver en advarsel, nogen læser.
Kontrollen system for system
Tag listen over logkilder og tilføj fire kolonner: besluttet periode, indstilling i systemet, ældste hændelse fundet ved måling, og afvigelse. Et tænkt eksempel kan se sådan ud:
- (Domænecontroller, Security) · Besluttet: (13 måneder) · Indstilling: (Størrelsesgrænse, overskriv ældste) · Ældste hændelse: (11 dage gammel) · Afvigelse: (Ja, eksport mangler)
- (Firewall) · Besluttet: (13 måneder) · Indstilling: (Sendes til central opsamling) · Ældste hændelse: (14 måneder gammel) · Afvigelse: (Nej)
- (Entra ID logon-log) · Besluttet: (13 måneder) · Indstilling: (Ingen eksport) · Ældste hændelse: (30 dage gammel) · Afvigelse: (Ja)
Afvigelserne er fundene. Hvert fund rettes enten ved at ændre indstillingen, ved at sende loggen et sted hen med længere opbevaring, eller ved en dokumenteret beslutning om en kortere periode for netop den kilde.
Hvad det kræver, og hvad det koster at lade være
Kontrollen kræver læseadgang til hver kilde og tid til at måle den ældste hændelse. Lagerpladsen til en lang periode er en beslutning, ledelsen skal træffe på grundlag af målingen.
Uden målingen står der 13 måneder i politikken og 11 dage på serveren. Det opdages først, når nogen skal finde begyndelsen på en hændelse, der startede for flere måneder siden.
Det skal I lade være med
- At læse perioden i politikken som bevis · beviset er den ældste hændelse i selve loggen.
- At omtale de 13 måneder som et lovkrav · det er SAMSIK’s anbefaling.
- At sætte en størrelsesgrænse uden at regne den om til tid · travle servere fylder loggen hurtigt.
Det skal gennemgangen kunne vise
- ☐ En besluttet opbevaringsperiode pr. kilde, begrundet i logpolitikken.
- ☐ Indstillingen i hvert system, læst med udtræk eller skærmbillede.
- ☐ Den ældste hændelse pr. kilde, målt på gennemgangsdagen.
- ☐ En liste over afvigelser med beslutning om rettelse eller begrundet undtagelse.
Kilder
- SAMSIK, Logning, en del af et godt cyberforsvar, 3. udgave januar 2023, s. 8-10, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, dansk tekst, bilagets punkt 3.2.5, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 12, stk. 2, litra a, læst 13. november 2026.
- CISA m.fl., #StopRansomware Guide, september 2023, læst 13. november 2026.
- Microsoft, wevtutil, læst 13. november 2026.
- Microsoft, Microsoft Entra data retention, læst 13. november 2026.
- Microsoft, Manage audit log retention policies, læst 13. november 2026.
- Vejledning til de tekniske minimumskrav til it-sikkerhed i staten, september 2025, afsnit 3.6, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find den ældste hændelse i Security-loggen på en domænecontroller, og sammenlign den med den periode, jeres politik nævner.
Læs også: Central logopsamling · Beskyttelse af loggen mod administratoren selv
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
