政府系統的日誌要留多久？
保存期限、記錄內容與集中收容的實務做法

政府系統的日誌至少要保留六個月。依《資通安全責任等級分級辦法》2026 年 1 月 7 日修正的附表十「資通系統防護基準」，防護需求等級「普」的資通系統就要訂定日誌之記錄時間週期及留存政策，並保留日誌至少六個月；「中」與「高」都包含「普」的所有控制措施，所以每一個等級都適用。等級越高，要求越多：「中」以上要定期審查日誌、用雜湊確保日誌沒被改過，「高」還要定期把日誌備份到原系統以外的實體系統。六個月是下限，不是建議值；系統若還牽涉案件救濟或契約要求，保存期限取最長的那一個。

這篇寫給政府機關的資訊承辦人，以及負責機關系統維運的廠商，談的是系統與主機層的日誌：作業系統、網站伺服器、應用系統、資料庫與網路設備自己產生的紀錄。違規案件本身「經過誰的手」的稽核軌跡是另一件事，已整理在交通違規證據鏈要保存什麼；本文說明附表十對日誌的六項要求、各層日誌該記什麼、六個月實際要多少空間，以及集中收容怎麼做。

政府系統日誌要留多久？附表十的六項日誌控制措施

附表十把日誌相關要求放在「事件日誌與可歸責性」這個構面，底下有六項控制措施。防護需求等級由附表九判定，分成普、中、高三級；下表依原文整理每一項在三個等級的要求，「同左」表示與較低等級相同：

控制措施	普	中	高
記錄事件	訂定日誌之記錄時間週期及留存政策，並保留日誌至少六個月；確保系統能記錄特定事件並決定要記哪些；記錄管理者帳號所執行之各項功能	普的全部，加上定期審查機關所保留的系統日誌	同中
日誌紀錄內容	包含事件類型、發生時間、發生位置及任何與事件相關之使用者身分識別等資訊；採用單一日誌機制，確保輸出格式一致
日誌儲存容量	依據日誌儲存需求，配置所需之儲存容量
日誌處理失效之回應	日誌處理失效時，系統應採取適當之行動	同普	中、普的全部，加上機關規定需即時通報的失效事件發生時，於機關規定之時效內對特定人員提出警告
時戳及校時	以系統內部時鐘產生時戳，並可對應到世界協調時間（UTC）或格林威治標準時間（GMT）；系統內部時鐘應定期與基準時間源同步
日誌資訊之保護	日誌的存取管理僅限於有權限之使用者	普的全部，加上運用雜湊或其他適當方式之完整性確保機制	中的全部，加上定期備份日誌至原系統外之其他實體系統

資料來源：全國法規資料庫《資通安全責任等級分級辦法》附表十「資通系統防護基準」（2026-01-07 修正；2026-10-19 重新下載，檔案與 10-09 下載版本相同）。實際適用以最新公告條文為準。

讀這張表要注意三件事：

1. 六個月寫在「普」，所以沒有任何等級可以少於六個月。常見的誤解是「我們的系統只是普級，要求比較少」。要求確實比較少，但保存期限這一條是從普級開始就有的。
2. 「訂定留存政策」本身就是一項要求。主機預設保留多久不算政策。機關要有一份寫明「哪些系統、哪些日誌、保留多久、存在哪裡、到期怎麼處理」的文件，稽核時拿得出來。
3. A、B 級機關還有監控範圍的要求。附表一（A 級）與附表三（B 級）的「資通安全監控管理機制」寫明，監控範圍應包括目錄服務系統與核心資通系統之日誌紀錄及資通設備紀錄，並依主管機關指定方式提交監控管理資料。也就是說，這些日誌不只要留，還要能即時送進監控。

哪些日誌要留？四層日誌與該記的內容

附表十要求日誌包含事件類型、發生時間、發生位置與使用者身分識別。問題是這四個要素很少在同一份日誌裡湊齊，一個系統通常有四層各自產生的紀錄，每一層回答的問題不一樣：

層級	典型來源	要回答的問題	最容易漏的地方
網路設備層	防火牆、VPN、負載平衡設備	哪個來源連到哪個服務、有沒有被擋下、遠端連線是誰	設備只存在本機記憶體，重開機就清空
作業系統層	主機登入紀錄、特權指令紀錄、帳號與排程異動	誰登入了主機、用管理者權限做了什麼	共用管理者帳號，事後分不出是哪一個人
網站與應用系統層	網站存取紀錄、應用系統的登入、權限異動、查詢與匯出紀錄	哪個帳號在系統裡看了什麼、改了什麼、匯出了什麼	只有網站存取紀錄，沒有應用系統自己的操作日誌
資料庫層	資料庫登入、權限異動、結構變更	有沒有人繞過系統直接進資料庫	為了效能整個關掉，或只開錯誤紀錄

以網站存取紀錄為例，它是最容易取得、也最容易被誤認為「日誌已經有了」的一層。我們看本站主機上的一筆實際紀錄，欄位依序是來源位址、時間（含 +0800 時區）、請求的網址、狀態碼、傳輸大小與瀏覽器資訊，使用者欄位是「-」，因為網站伺服器本身不知道是哪個帳號在操作。它答得出「何時、從哪裡、存取了什麼」，答不出「是誰」。附表十要的使用者身分識別，必須由應用系統自己記：登入成功與失敗、權限變更、資料匯出，每一筆都帶帳號。

另外兩個要求常被忽略。第一，附表十明定要記錄管理者帳號所執行之各項功能，管理者新增帳號、調整權限、修改系統設定都要留紀錄，而且這些紀錄不應該由同一個管理者自己就能刪除。第二，日誌不是越詳細越好。錯誤日誌與除錯紀錄很容易把整筆表單內容原封不動寫進去，日誌一保存六個月，裡面的姓名、電話與證號也跟著存六個月。日誌只記帳號、案號與事件，個人資料的欄位設計與保存期限，見民眾檢舉平台的個資怎麼保護。

保留六個月要多少空間？用一台實際主機估算

談到日誌保存，第一個反應通常是「空間夠不夠」。我們用本站所在主機的網站存取紀錄實際算一次。本站是一般流量的企業官網，2026 年 9 月 30 日 20:14 到 10 月 18 日 19:59，約 18 天的 HTTPS 存取紀錄如下：

項目	約 18 天實測	換算每天	推估 180 天
紀錄筆數	65,755 筆	約 3,650 筆	約 66 萬筆
未壓縮大小	13,611,169 位元組（約 13.6 MB）	約 756 KB	約 136 MB
gzip 壓縮後	1,163,519 位元組（約 1.16 MB）	約 65 KB	約 11.6 MB

2026-10-19 於本站主機實查。壓縮比約 11.7 比 1。這只是網站存取紀錄一層，不含作業系統、應用系統與資料庫日誌，也不代表其他系統的流量。

這組數字說明兩件事。第一，容量通常不是瓶頸。一個企業官網六個月的存取紀錄壓縮後約 11.6 MB；流量大一百倍的系統也只是 1 GB 多。估算自己系統時，公式是「每天筆數 × 每筆平均大小 × 保存天數 × 副本數」，再除以壓縮比，四層各算一次加總。附表十的「日誌儲存容量」要求依需求配置，就是要把這個數字算出來寫進文件。

第二，真正的問題是主機的預設輪替。同一台主機上，網站存取紀錄每天會被系統輪替進壓縮檔，而帳號目錄裡只看得到當月的壓縮檔：10 月 19 日查詢時，最早一筆是 9 月 30 日 20:14，更早的已經不在帳號目錄裡。這是虛擬主機常見的預設行為，對一般企業官網夠用，但放到政府系統上，光靠預設設定留不到六個月。機關系統若放在虛擬主機或廠商代管的主機上，要在契約裡寫明日誌由誰、用什麼方式保留到六個月以上，而不是假設主機商會幫你留。

日誌集中收容怎麼做？送出去、驗得到、刪得掉

日誌集中收容是把各台主機、網路設備與應用系統的日誌，即時傳送到一台專門保存日誌的主機統一存放。它同時解決上面三個問題：原主機被入侵時另一份還在、容量與保存期限集中管理、時間在同一處比對。依附表十的要求，一套可以通過稽核的集中收容至少要做到下面七件事：

1. 即時傳送，不是每月搬一次。各來源產生日誌後就送到收容主機；只在月底手動複製，入侵發生在月中時這一段仍然只有原主機上的那一份。
2. 收容主機與被收容的系統分開管理。系統管理者可以讀取自己系統的日誌，但不能刪改收容主機上的紀錄。附表十「定期備份日誌至原系統外之其他實體系統」雖然是對「高」的要求，但讓管理者刪不掉自己的紀錄，對每個等級都有意義。
3. 每天封存並計算雜湊。每天的日誌封存成一個檔案，計算雜湊值另外保存，日後比對雜湊就能證明內容沒被改過。這是附表十對「中」以上要求的完整性確保機制。
4. 斷線告警。某一個來源超過機關訂定的時間沒有送來日誌，就通知指定人員。「高」等級的系統，這個告警時效要由機關規定並寫進文件。
5. 存取限權限、讀取也留紀錄。誰查過日誌本身也是要留的紀錄，避免日誌變成另一個資料外洩的出口。
6. 定期審查要有固定清單。「中」以上要定期審查日誌，建議每次看同一組項目：管理者帳號的登入來源與時段、權限與帳號異動、大量查詢或匯出、短時間內集中的登入失敗，並把審查結果留下紀錄。
7. 到期刪除並留刪除紀錄。保存期限到了依政策刪除，刪除紀錄只記日期範圍、系統與依據，不記內容。刪除紀錄不留，就無法證明日誌是照規定刪的。

集中收容的日誌在兩個時機最常被調閱。一是資通安全健診：伺服器主機惡意活動檢視與防火牆連線設定檢視都需要看紀錄，健診發現有入侵跡象時要先保全日誌再處理，做法見資通安全健診做什麼。二是換廠商：日誌與留存政策要列入移交，新廠商接手後保存期限不能中斷，移交清單見科技執法系統換廠商怎麼交接。公部門網站代管其他要準備的佐證，整理在公部門網站代管要符合哪些規範。

六件事寫進契約之後，驗收時就有東西可以驗：查一筆管理者操作，看日誌裡有沒有帳號；挑一天的封存檔重算雜湊，看是否相符；停掉一個來源，看告警有沒有發出。

瑪尼國際成立於 2004 年，深耕資訊服務逾 20 年、服務逾 500 家企業，並以協力廠商身分參與全台多個縣市警察局交通隊的入案系統建置與維運。科技執法與民眾檢舉這類對外服務的系統，日誌同時是資安稽核與案件爭議時的依據；主機放在中華電信光纖機房，由我們負責網站代管、作業系統更新與日誌保存設定，前台與後台的網頁設計也可以一併把應用系統日誌規劃進去。從程式、資料庫到主機由同一組人負責的一條龍服務，四層日誌的格式與保存期限可以一次訂齊。

常見問題