Bill, normalmente, esses requisitos não são para registrar cada pressionamento de tecla, mas para registrar ações específicas. Na verdade, você geralmente pode definir na política as coisas que precisa registrar. Você pode pesquisar na web as políticas de outras pessoas e implementar uma política sensata e razoável. Então siga-o.
Tenha em atenção que alguém deve rever tudo o que está registado, por isso, mantenha a política SANE.
FYI - Registrar cada batida de tecla é um risco de segurança porque exporia senhas àquelas que revisam os registros. Também poderia causar uma situação de negação de serviço devido à necessidade de gravar tantos dados no log.