保存先は「取り出すまでの時間」で決める

何日残すかだけでなく、調査を始めてから何分・何時間で取り出せる必要があるかも決める。

• 初動で必要な証跡と、検索に使う項目（索引）は、すぐ検索できる場所に置く
  • 例：task-01・run-01・op-01・msg-8f3a や時刻・アカウントで、該当するログをすぐ引ける
  • 詳細や原本は、安い別の保管先に置いてもよい。ただし取り出しに時間がかかるなら、その時間を含めて調査に間に合うかを確かめる
• SaaSの監査ログには、自社で変えられない保持期限や取得の制限があることが多い
  • 例：外部メールサービス（SaaS）側の msg-8f3a の送信ログも、保持期限が過ぎれば消える。APIの呼び出し回数に上限があったり、契約プランで保持期間や取得できる範囲が変わったりする
  • 消える前に取り込めるよう、取得の頻度と、取得の失敗を監視する方法を決める。取得できないなら、調査できない範囲として要件に書いておく
• 内容データ（実際に渡した文面など）は、保存先を分けても、保持期間は証跡と揃える
  • 内容データだけ先に消すと、証跡の保管IDとハッシュ値が残っても、当時の文言は確かめられない（例：「完成したらこの宛先へ送る」が渡した文面に本当に含まれていたか）
  • 個人情報の消去などで短くする場合は、答えられなくなる問いとして合意しておく

「何を残すか」だけでなく、「削除後に何を答えられなくなるか」まで合意する