测评那几天，日志平台要交三份东西

结论先行：测评与审计期间被要求提供的材料，通常可以归成三类：面向合规条款的审计报告、面向设备健康与覆盖面的巡检报告、面向内部人员行为的操作审计报告。三份材料回答三个不同的问题，数据来源也不同。交不出来的时候，原因多数不在汇总环节，而在采集侧一开始就没有留——要么记录不覆盖平台自身，要么时间范围对不上，要么脱敏脱得连证据也没了。

本文只谈测评与审计期间这几类材料怎么准备，不谈平台上线前该定哪些合规项，也不谈上游系统变更之后报表为什么会失真。

三份材料各回答什么

三份材料的有效期不一样。合规审计报告通常按测评周期出，巡检报告按月或按季出，人员操作审计报告则应当是常态化的，测评时只是把一段时间的结论汇起来。如果第三份是测评前临时生成的，本身就说明平时没人看。

为什么常常交不出来

其一，记录不覆盖平台自身。这是最典型的一处。平台记录了全公司的操作，却没有记录「谁在平台上做了什么」：谁查了哪批日志、谁导出过多大范围、谁改了采集规则、谁调了权限。监管口径里反复出现可追溯、可定责、可管控这三条，它对平台自身同样成立。

其二，时间范围对不上。测评要求的是一个明确的期间，而平台的留存策略可能刚好把这个期间的头部滚掉了。留存周期写的是「满足要求」，实际配置却按存储水位动态清理，这两件事在测评时才会撞上。

其三，脱敏把证据也脱掉了。为了合规，平台对个人信息类字段做了脱敏，这本身是对的。但如果脱敏发生得太早、太彻底，事后想还原某一次具体操作就做不到——记录里只剩一串星号。

其四，源停写了没人知道。采集端还在跑、心跳正常，但某个源已经两周没有新内容。巡检报告如果不比「实际写入量」与「应写入量」，这种静默停写是看不出来的。

脱敏与证据之间的取舍

可行的做法是按层处理，不做一刀切。

先按内容性质分层。系统与链路类字段原样保留，排障与取证都靠它；身份与账号类字段保留但限制可见范围；个人信息类字段在采集侧完成脱敏，原始值单独授权；业务明细类按业务域隔离，跨域调阅走审批。

再按角色给范围。普通管理员只看脱敏后的内容，原始敏感数据只对指定角色开放，且每次调阅留痕。这一条要真的落到账号上，而不是写在制度里。

最后留一条还原路径。脱敏不等于销毁。原始值应当在受控范围内可还原，否则遇到需要举证的场景，手里只有一堆星号。

留存期不是配一个数字就完了

留存期这一项，两个细节容易出问题。

一个是冷热分层带来的错觉。冷存储里的数据「还在」，但查询要走另一条路径、耗时也不一样。测评现场被要求当场调一段半年前的记录，如果只能查热数据，就会出现「留存了但查不到」的尴尬。

另一个是扩容与清理的冲突。存储水位上涨时，最省事的做法是把最老的数据删掉。这个动作如果没有人审批、没有记录，留存承诺就是在无人知晓的情况下被打破的。可行的做法是把清理动作纳入变更管理：清理前有审批，清理后留记录。

三份材料怎么变成常态

最省力的方式，是把三份材料做成周期性的产物，而不是测评前的一次冲刺。

巡检报告按月出。重点看两件事：源清单与实际写入的差异、采集端的状态。差异一旦出现，当月就处理掉。

人员操作审计按季出。重点看三类动作：高权限账号的使用、权限变更、批量导出。三类的结论不必长，但要能回答「这个季度有没有异常」。

合规审计报告按年或按测评周期出。它其实是对前两份的汇总与对照，前两份做好了，这一份是整理工作；前两份没做，这一份就只能现编。

三份材料的数据应当来自同一批原始日志。如果三份各自取数、各自口径，测评现场很容易出现「同一件事三份材料数字不一样」的情况，解释起来比重做还费劲。

深圳市奇摩计算机有限公司在日志平台类项目里，把这三份材料的字段与出数口径在实施阶段就与客户对齐，并把留存策略、清理审批、调阅留痕一并配进去。这样安排的原因不复杂——材料是过程的结果，过程没留，材料就是临时的。

落地清单

• 把测评要的材料拆成三类：合规审计、设备与采集巡检、人员操作审计，分别指定责任人。
• 确认平台自身的查询、导出、改规则、调权限四类动作有独立记录，且记录不可被有权限的人删除。
• 核对留存周期与清理策略是否一致，清理动作纳入变更管理并留记录。
• 确认冷存储中的数据能在现场被调出来，不只验证「存了」。
• 字段按内容性质分层处理，脱敏后的原始值保留可还原路径。
• 巡检报告按月出，重点是源清单与实际写入量的差异。
• 人员操作审计按季出，重点看高权限使用、权限变更、批量导出三类。
• 三份材料共用同一批原始日志与同一套口径，避免数字互相打架。

若您正在准备等保测评或年度审计，需要把这几类材料的出数口径提前定下来，欢迎 预约咨询。