<p>Ereignisprotokolle, die Benutzertätigkeiten, Ausnahmen, Störungen und Informationssicherheitsvorfälle aufzeichnen, werden erzeugt, aufbewahrt und regelmäßig überprüft. Die Ereignisprotokolle sollten die folgenden Elemente enthalten (sofern relevant):</p>

<ul>
	<li>Benutzerkennungen;</li>
	<li>Systemaktivitäten;</li>
	<li>Datum, Uhrzeit und Einzelheiten wichtiger Ereignisse, z. B. Anmeldung und Abmeldung;</li>
	<li>Geräteidentität oder -standort (falls möglich) und Systembezeichnung;</li>
	<li>Aufzeichnung erfolgreicher und abgelehnter Systemzugriffsversuche;</li>
	<li>Aufzeichnung erfolgreicher und abgelehnter Versuche, auf Daten oder andere Ressourcen zuzugreifen;</li>
	<li>Änderungen der Systemkonfiguration;</li>
	<li>Nutzung von Privilegien;</li>
	<li>Nutzung von Dienstprogrammen und Anwendungen;</li>
	<li>Dateien, auf die zugegriffen wurde, und Art des Zugriffs;</li>
	<li>Netzwerkadressen und Protokolle;</li>
	<li>vom Zugriffskontrollsystem ausgelöste Alarme;</li>
	<li>Aktivierung und Deaktivierung von Schutzsystemen wie des Schadsoftware- und des Angriffserkennungssystems;</li>
	<li>Aufzeichnungen von Transaktionen, die von Benutzern in Anwendungen ausgeführt werden.</li>
</ul>

<p>Die Ereignisprotokollierung bildet den Grundstein für automatisierte Überwachungssysteme, die in der Lage sind, konsolidierte Berichte und Warnungen zur Systemsicherheit zu erzeugen. Ereignisprotokolle können sensible Daten und personenbezogene Informationen enthalten. Daher werden Maßnahmen zum Schutz der Privatsphäre ergriffen. Die Systemadministratoren sollten möglichst keine Befugnis besitzen, die Protokollierung ihrer eigenen Aktivitäten zu löschen oder zu deaktivieren.</p>
