به منظور کاهش حجم لاگ‌های ذخیره‌شده و تمرکز بر رویدادهای واقعاً مهم، سیستم این امکان را فراهم کرده است که مدیر امنیت بتواند رویدادهای مشمول ممیزی را به صورت پویا انتخاب کند. برای مثال، می‌توان تعریف کرد که لاگ‌های مربوط به خواندن داده‌های غیرحساس ثبت نشوند، اما تغییر در سطوح دسترسی حتماً ثبت گردد. این انتخاب‌پذیری مبتنی بر سیاست‌های از پیش تعریف‌شده و با اعمال اصل کمترین امتیاز صورت می‌پذیرد.
به منظور جلوگیری از سوءاستفاده از دسترسی به لاگ‌ها، قابلیت بازبینی داده‌های ممیزی تنها به نقش‌هایی اعطا شده است که دارای مجوز صریح «مدیر امنیت» می‌باشند. حتی سایر مدیران سیستم با سطح دسترسی بالا نیز نمی‌توانند لاگ‌های امنیتی را مشاهده یا تغییر دهند. این محدودیت با اعمال فهرست‌های کنترل دسترسی (ACL) بر روی فایل‌های لاگ و همچنین احراز هویت دو مرحله‌ای برای دسترسی به پورتال بازبینی پیاده‌سازی شده است.
برای آن که هر رویداد ثبت‌شده به شخص خاصی قابل نسبت باشد و امکان پاسخگویی و پیگرد قانونی فراهم شود، تمام لاگ‌ها به هویت منحصربه‌فرد کاربر (شناسه یکتای کاربری نه فقط نام کاربری) متصل شده‌اند. این کار حتی اگر کاربر از چندین حساب یا دستگاه استفاده کند، ردیابی دقیق را ممکن می‌سازد. برای نشست‌های موقت یا درخواست‌های احراز هویت نشده، از یک شناسه موقت (مانند توکن نشست) استفاده می‌شود که با احراز هویت بعدی به هویت واقعی متصل می‌گردد. این قابلیت زنجیره ممیزی کاملی را فراهم می‌کند.
برای جلوگیری از مشاهده یا دستکاری غیرمجاز لاگ‌ها، دسترسی به لاگ‌های سیستم به صورت شدیداً کنترل‌شده و مبتنی بر اصل کمترین امتیاز تعریف شده است. تنها نقش «مدیر امنیت» (Security Administrator) اجازه مشاهده و جستجوی لاگ‌ها را داشته و این دسترسی نیز از طریق یک پورتال مجزا و با احراز هویت دو مرحله‌ای انجام می‌شود. هیچ کاربر عادی، حتی مدیر سیستم معمولی، به لاگ‌های امنیتی دسترسی ندارد. همچنین تمام تلاش‌ها برای دسترسی به لاگ‌ها (موفق و ناموفق) خودشان در یک لاگ جداگانه ثبت می‌شوند.
با توجه به اینکه ذخیره‌سازی بی‌رویه لاگ‌ها باعث افزایش هزینه و کاهش کارایی تحلیل می‌شود، رویدادهای قابل ثبت به صورت هدفمند و مبتنی بر ریسک انتخاب شده‌اند. با انجام تحلیل ریسک و مشاوره با تیم امنیت، تنها رویدادهایی انتخاب شدند که بیشترین ارتباط را با تهدیدات احتمالی دارند. برای مثال، تغییرات در سطوح دسترسی و تلاش‌های ناموفق احراز هویت (به دلیل ارتباط با حملات Brute-force) همیشه ثبت می‌شوند، در حالی که عملیات خواندن داده‌های غیرحساس ممکن است ثبت نشوند. این رویکرد بهینه‌سازی حجم لاگ را به همراه دارد.
به منظور فراهم کردن قابلیت بازبینی لاگ‌های امنیتی برای افراد مجاز، سیستم امکاناتی را فراهم می‌کند که مدیر امنیت بتواند رویدادهای ثبت‌شده را به صورت مبتنی بر متن (human-readable) مشاهده و جستجو کند. این بازبینی شامل کلیه رویدادهای تولیدشده توسط سامانه از جمله ورود و خروج کاربران، تغییرات دسترسی و تلاش‌های ناموفق احراز هویت می‌گردد. تمام تلاش‌های دسترسی به لاگ‌ها نیز خود در یک حافظه ممیزی جداگانه ثبت می‌شوند.
برای آن که بتوان رویدادهای امنیتی مهم را پایش و پس از حادثه تحلیل کرد، سیستم به قابلیت تولید و ثبت خودکار لاگ‌های امنیتی تجهیز شده است. رویدادهایی که ثبت می‌شوند عبارتند از: ورود و خروج موفق و ناموفق، تغییر رمز عبور، تغییر سطح دسترسی، دسترسی به داده‌های حساس (مانند اطلاعات پزشکی یا بانکی)، تغییر تنظیمات امنیتی، و شروع و پایان نشست‌ها. هر رویداد دارای زمان دقیق (با زمانبندی هماهنگ NTP)، نوع رویداد، منبع (آی‌پی کاربر)، نتیجه (موفق/ناموفق) و پیام خطای مرتبط است. این ویژگی امکان پایش امنیتی و پاسخگویی به حادثه را فراهم می‌کند.