Datum a čas události (uvedený s jednoznačnou identifikací časové zóny, např. UTC nebo lokální čas s uvedením offsetu).

Síťové identifikátory komunikujících bodů (tj. např. IP adresy a porty).

Identifikátor uživatele, pod kterým byla činnost provedena.

Přihlášení a odhlášení uživatelů a administrátorů, a to včetně neúspěšných pokusů.

Činnosti provedené administrátory, o použití privilegovaných účtů, např. účtu supervisora, administrátora.

Spuštění a ukončení informačního nebo komunikačního systému.

Změny konfigurací.

Úspěšné i neúspěšné činnosti vedoucí ke změně přístupových oprávnění.

Zahájení a ukončení činností zařízení a aplikací.

Automatická varovná nebo chybová hlášení zařízení a aplikací.

Přístupy k záznamům o činnostech, pokusy o manipulaci se záznamy o činnostech a změny nastavení.

Nástroje pro zaznamenávání činností.

Použití mechanismů identifikace a autentizace včetně změny údajů, které slouží k přihlášení.