Il n’existe pas une durée universelle.
La durée dépend :
- du secteur
- des obligations légales
- des obligations contractuelles
- du niveau de risque
- de la criticité
- du coût
- des besoins d’investigation.
Une organisation doit donc définir une politique de rétention.
Le règlement délégué associé à DORA prévoit par exemple que les périodes de conservation soient déterminées en tenant compte notamment des objectifs de sécurité et du risque ICT.
Il faut également distinguer :
hot storage
pour les recherches fréquentes,
et
cold/archive storage pour la conservation longue durée.