你家小区门口的监控录像，物业得保存多久？30天。那公司服务器上每天产生的访问记录、登录痕迹、操作日志，又该留多久、怎么存、谁来看？这些不是IT部门关起门来的事，而是和每个人上网安全、企业被查、甚至打官司都直接挂钩的事。
日志不是想删就删，也不是堆着就行
去年有家小电商被用户投诉下单后订单莫名消失，用户拿出截图要维权，公司却说‘日志早清了，没记录’——结果市场监管部门一查，发现他们连基本的登录日志都没留满6个月，直接按《网络安全法》第21条开了罚单。日志不是备份文件夹里的废纸，它是数字世界的行车记录仪。
三条底线，踩中一条就可能出事
第一，时间不能短。一般系统操作日志、用户登录日志、关键业务行为日志，至少保留180天；涉及金融、医疗、教育等行业的，很多要求不少于5年。比如学校教务系统里教师修改学生成绩的操作，就得长期可追溯。
第二，内容不能缺。不能只记‘张三登录了’，得包含：谁（账号/IP）、什么时候（精确到秒）、在哪台设备或IP上、干了什么（如‘导出班级花名册’）、结果成功还是失败。少一项，查起来就容易扯皮。
第三，不能随便改、不能随便看。日志文件得防篡改，常见做法是写入后立即用只读权限锁定，或同步推送到独立的日志服务器。同时，谁有权限查看、导出、删除，必须有审批留痕。前台客服不能一键下载全站用户手机号，这是红线。
小公司也能做到的合规动作
没专职运维？别慌。用开源工具就能起步：
比如Linux服务器上装rsyslog，配好远程转发，把所有机器的日志集中打到一台专用服务器上；再配合logrotate自动按天切分、压缩、保留180天：
/var/log/app/*.log {
daily
rotate 180
compress
missingok
notifempty
sharedscripts
}手机App后台？别只靠开发随手打个console.log。上线前确认SDK已开启合规日志开关，且敏感字段（如身份证、银行卡号）默认脱敏，像这样："id_card": "110101********1234"。
最常被忽略的一点：日志里别存密码明文。哪怕只是测试环境，只要日志里出现password=123456，审计时就是高危项。该加密的加密，该掩码的掩码，不是‘反正没人看’就能糊弄过去。