日志留得越久，越方便回查历史事件，但存储、检索和权限管理也会持续增加成本。制定香港服务器日志留存与访问审计要求时，先确定要回答什么问题：谁在何时登录、访问了哪些资源、配置是否变更，以及异常发生在什么时间段。不要把所有日志一律保存同样久，也不要把示例天数误当成法定标准。
先按用途分日志，而不是按服务器统一设期限
可将日志分成三类：系统与认证日志记录登录、权限和服务状态；应用访问日志记录请求路径、状态码等信息；管理操作审计记录账号、操作对象、结果和时间。具体内容取决于软件配置。访问日志若包含 IP 地址、账号标识或其他可识别信息，可能涉及个人资料；收集前应确认用途，并避免记录密码、令牌等敏感内容。
香港《个人资料（私隐）条例》的保障资料第2原则要求，个人资料保存时间不应超过达到目的所需时间；第4原则涉及资料安全。它们并未为所有服务器日志规定一个统一留存天数。还需核对适用的行业规则、客户合同和内部政策，避免用通用周期替代具体义务。
审计成本的5项比较
| 比较项 | 短周期的特点 | 长周期的特点 | 取舍重点 |
|---|---|---|---|
| 1. 存储容量 | 占用较少，费用较易控制 | 容量随每日日志量和保留天数增加 | 按实际日均数据量估算 |
| 2. 检索与分析 | 较适合近期故障排查 | 更有利于调查延迟发现的问题 | 确认旧日志是否仍可检索、查询速度是否满足需要 |
| 3. 完整性与访问控制 | 保护范围较小，但仍需防止未授权修改 | 需长期维护权限、校验及备份策略 | 审计轨迹应记录谁查看或导出日志 |
| 4. 运维投入 | 清理和归档规则相对简单 | 需要监控容量、归档状态和恢复流程 | 明确负责人及定期检查安排 |
| 5. 合规与业务风险 | 减少不必要留存，但可能缺少调查证据 | 有较多历史记录，也增加资料暴露面 | 以业务目的、合同和适用规则为依据 |
容量可先用“每日产生量 × 留存天数”估算原始数据量。例如，假设某服务每天产生2 GB日志，保留90天，原始量约为180 GB；这不包括索引、备份、副本及压缩差异。实际开销要根据日志平台的存储格式、查询方式和冗余设置测算。
按风险与成本设定周期
短期在线，较长期归档
常见做法是让近期日志保持在线，便于快速检索；较早记录转入成本较低、访问较慢的归档层，达到期限后再按规则删除。30天、90天或180天可以作为内部评估的候选档位，而非通用合规结论。若业务需要调查跨月事件，周期应覆盖可能的发现和处理时间；若日志很少用于历史分析，长期在线保存则未必划算。
落地步骤
- 列出日志源：登记操作系统认证记录、Web服务器访问记录、应用管理操作等，并标明负责人。
- 写明用途：分别说明故障排查、安全调查、访问追踪等目的，删除与目的无关的字段。
- 确定分层周期：为在线检索、归档和最终删除分别设定期限，并记录业务或规则依据。
- 计算并试运行：统计一段具有代表性的业务周期内的数据量，按留存天数估算容量，再检查查询和恢复是否可用。
- 限制与复核：按职责授权查看和导出，记录管理操作；定期核查期限是否执行，并在业务变化或规则更新时重新评估。
常见问题
香港服务器日志必须保存多少天？
没有适用于所有服务器日志的统一天数。应结合日志用途、适用规则、合同和业务调查需要确定。
访问审计日志应记录什么？
通常记录账号、时间、操作对象、操作类型和结果等必要信息。具体字段应按审计目的确定，并避免收集密码或不必要的个人资料。
能否只保留压缩归档日志？
可以评估，但要确认归档能否完整读取、权限是否受控、恢复过程是否经过验证；不常查询的日志不一定适合保持在线。
如何判断周期是否过长？
如果已无明确用途或规则依据，却持续保存可识别个人的信息，应重新评估。香港服务器日志留存与访问审计要求应同时兼顾可追溯性、资料保护和可承担的运维成本。