Os logs são eliminados automaticamente (em uma rotação baseada em tempo ou tamanho) porque o espaço em disco é finito. Manter cada entrada de log para sempre preencheria até mesmo o maior dos discos rapidamente, e todo sistema operacional faria algum tipo de limpeza de log.
Embora isso responda à sua pergunta, isso não resolve o seu problema: alguém que não deveria ter acesso aos seus servidores claramente ainda faz (pelo menos através do OWA).
Sugiro que você revise Como faço para lidar com um servidor comprometido? como outros sugeriram, e decidindo como proceder com base no feedback dado lá.
Também aconselho vivamente a forçar uma alteração de senha para todos os usuários - Se essa pessoa estiver fazendo login como um ex-funcionário que sabe que outras partes obscuras eles podem estar retendo (cópias das senhas de todos, talvez?).
Depois disso, você pode começar a pensar em uma política de segurança real para sua empresa. Assim, na próxima vez que você demitir alguém, verifique se todo o acesso foi revogado corretamente ...