De bewaartermijn op de syslogservers komt minimaal overeen met de in de security policy vastgelegde termijn.

Loggegevens op de syslogserver kunnen niet gewijzigd of verwijderd worden zonder tussenkomst van de security officer, of hiervoor specifiek aangewezen systeembeheerders. Indien er specifieke systeembeheerders in staat zijn loggegevens aan te passen of te verwijderen, dan valt hieronder geen logging die betrekking heeft op hun beheeractiviteiten elders binnen de infrastructuur.

Tijdens de logcontrole wordt vastgesteld of aangetroffen security-events duiden op een security incident.

Er vindt een (minimaal) dagelijkse controle van systeemlogging plaats, waarbij onregelmatigheden in de logging worden vastgesteld en nader onderzocht.

Er zijn maatregelen getroffen om te voorkomen dat loggevens verloren gaan.

Er is een syslogserver aanwezig voor de centrale opslag van loggegevens.

Indien er met de systeemeigenaar specifieke afspraken zijn gemaakt over de reactie- en detectiesnelheid van securityincidenten, dan is het ingerichte loganalyseproces in staat de afgesproken reactiesnelheden te ondersteunen.

De systeemklok van de NTP server wordt (tevens op basis van NTP) gesynchroniseerd met minimaal 2 externe tijdsbronnen. De nauwkeurigheid van deze bronnen is minimaal stratum 4.

Systeemmeldingen worden weggeschreven op een speciale logserver.

Het gekozen loggingniveau is dusdanig gedetaileerd dat de logs die op de centrale logserver worden weggeschreven gebruikt kunnen worden voor het onderzoeken van zowel systeem- als beveiligingsincidenten. 

De systeemklok wordt op basis van NTP gesynchroniseerd met een tijdsbron met een stratum waarde van 6 of lager.

De beschikbaarheid van kritieke functies van de te beheren componenten worden continue gemeten. Indien een functie niet beschikbaar is, wordt de beheerder van dit onderdeel van het systeem direct op de hoogte gebracht.

De beschikbare geheugencapaciteit van de te beheren componenten wordt continue gemeten. Bij het overschreiden van vooraf gedefinieerde thresholds wordt een signaal aan de beheerder afgegeven.

De beschikbare diskcapaciteit van de te beheren componenten wordt continue gemeten. Bij het overschreiden van vooraf gedefinieerde thresholds wordt een signaal aan de beheerder afgegeven.

De beschikbare CPU capaciteit van de te beheren componenten wordt continue gemeten. Bij het overschreiden van vooraf gedefinieerde thresholds wordt een signaal aan de beheerder afgegeven.