Règle : refus. On ne purge jamais une piste d'audit pour permettre une correction.

Interdiction

L'effacement d'un audit trail préalablement à une correction est interdit : il détruit la preuve de l'état antérieur et rend la correction elle-même non auditable. Selon le contexte, cela s'apparente à une destruction de preuve et à une violation des exigences d'intégrité et de traçabilité.

Références normatives

Référentiel Exigence

ISO/IEC 27001:2022 — A.8.15 Logging et A.8.16 Monitoring (ex-A.12.4.1 dans la version 2013) Journalisation conservée et protégée contre altération/suppression
RGPD, art. 5.2 Principe d'accountability : capacité de démontrer la conformité
SOX, section 802 Sanctions pénales pour altération/destruction de documents et preuves
NIST SP 800-92 Protection des logs contre toute modification non autorisée

Procédure correcte
Ne toucher à rien dans les journaux existants : ils sont append-only.
Appliquer la correction sur la donnée ou le système concerné.
Journaliser la correction : qui, quand, quoi, pourquoi, valeur avant / valeur après, référence du ticket.
Conserver l'original intact (archivage, WORM, hachage/scellement si disponible) pour analyse forensique.

Principe : on corrige par ajout, jamais par suppression (logique de contre-écriture, comme en comptabilité).

Risques en cas de non-respect

Sanctions légales et réglementaires (amendes, poursuites pénales).
Réserve ou opinion défavorable en audit, perte de certification.
Perte de capacité de détection d'incident et de reconstitution des faits.
Soupçon porté sur l'exécutant du ticket lui-même.

Seuls cas de suppression légitimes

Politique de rétention documentée et appliquée automatiquement à échéance.
Réquisition judiciaire ou procédure légale encadrée, avec traçabilité formelle.
Droit à l'effacement / minimisation RGPD portant sur des données personnelles présentes dans les logs, via une procédure validée par le DPO — et non via un ticket d'exploitation.

Aucun de ces cas ne correspond à « effacer avant de corriger ».

Action à mener sur ce ticket

Refuser la demande telle que formulée et le consigner dans le ticket.
Escalader vers le responsable conformité / sécurité / juridique (et le DPO si données personnelles).
Documenter l'incident : la demande de suppression de journaux est en soi un événement de sécurité à signaler.
Proposer l'alternative : correction + entrée d'audit explicative (§3).