Se o número de objetos a auditar for aumentado significativamente na organização, haverá um risco de que o log de segurança alcance sua capacidade e force o desligamento do computador se estiver ativada a configuração que indica que se deve desligar o sistema imediatamente se não for possível o log de auditorias seguras.

Se ocorrer um desligamento do computador por estouro de capacidade, o computador não poderá ser usado até que um administrador limpe o log de segurança, liberando espaço.

Mesmo que se ativem diretivas corretas de tamanho de log para todos os computadores da organização é impossível que as atividades não autorizadas possam ser detectadas e rastreadas e os problemas de computador possam ser detectados e diagnosticados.

Quando os logs de eventos ficam cheios, eles param de registrar informações. Pode-se evitar isso configurando o método de retenção para cada um de modo que o computador substitua as entradas antigas pelas recentes.

Caso os eventos mais antigos sejam removidos dos logs, os invasores podem gerar um grande número de eventos alheios para substituir qualquer evidência de seu ataque. Estes riscos podem ser reduzidos se for automatizado o arquivamento e backup de dados de log de eventos.