不少公司把操作日志当备胎平时不理出事才想起来翻。真到要追责、要自证清白的时候日志就是唯一底牌。而且留不留、留多久不是你说了算法规早画了线。搞安全的这条得门儿清别等审计来了才发现留的是假日志、留的时长不够。日志不是备胎是追责的底牌员工泄密了你说没干过对方说你监管不到位谁举证靠日志。谁在几点导了客户表、插了几次 U 盘、发了什么邮件一条时间线摆出来是非清楚。没日志嘴上再硬也空所以日志不是锦上添花是出了事能兜底的硬需求也是自证清白的证据。纠纷里你能甩出完整时间线立场就站得住甩不出只能认罚认赔连整改机会都没有。等保2.0怎么要求的等保2.0对安全审计有明条重要系统得有审计功能覆盖用户行为和安全事件日志至少留存六个月且不能随便改、随便删。意思是你不但要记还得防篡改、防覆盖留存期不到半年法务都不答应。很多小公司日志只留两周真出事早被冲没了等于没记被审计一票否。等保测评过不了业务连招投标门槛都进不去这损失比买套日志系统大得多别省这块小钱。个人信息法又卡了哪条个人信息保护法要求处理个人相关信息要有记录、可溯源出争议能说明白谁在啥时候动了啥数据。这把日志范围从安全事件扩到数据处理行为员工入职离职、权限变更、敏感访问都算漏记就违规。两条法规叠起来日志的量和质都得过线不是想留多少留多少范围不够同样被审计挑刺。哪三类日志必须留一是访问日志谁打开了哪个敏感文件、啥权限。二是传输日志文件通过邮件、IM、U 盘去了哪。三是行为日志批量导出、异常外联、违规操作这类。三类凑齐一起泄密事件才能完整还原只留一类都是半截案查到一半断片定不了责也防不住再犯。比如只留访问不留传输你知谁看了却不知发哪了追不回也拦不住下回等于白忙一场。留的时候别踩这两个坑坑一时间没校对。各终端各记各的时间差几分钟串时间线就乱复盘时谁先谁后分不清得用 NTP 统一授时。坑二能改能删。普通文件谁都能清日志就废了必须进防篡改存储删改本身也留痕。满足等保的终端系统如​安企神​把三类日志写进 WORM 存储时间由 NTP 统一校删改都留痕半年起留不丢。WORM 是写入后只读谁也改不了删不掉这份死证据在纠纷里最硬气比自己导出的表格管用也经得起抽查。落到系统里怎么做先列必须记的事件清单别啥都记也别漏关键统一授时、开防篡改留存期设六个月以上到期自动归档不覆盖定期演练回查别等出事才第一次翻。不演练的留存等于买了保险不去理赔真出事照样抓瞎平时顺溜灾时掉链子最误事建议每半年模拟一次溯源查证。责编小赵