SOC 2 和 ISO 27001 都不强制规定具体日志留存时长，但要求组织基于自身风险评估定义周期，审计中通常会被追问 90 天至 1 年的历史可查性。