结论先行：用日志和用户行为分析发现内部风险，技术侧早已不是难点，难的是把边界画清楚。四道边界需要同时成立：采集范围只覆盖与业务系统交互的行为、员工知道被监测什么、查看权限按用途分级、留存到期有明确处置。这几条不写下来，平台能力越强，一旦发生争议就越难解释。
为什么这类分析容易越界
内部风险的信号，天然藏在行为里。公开的产品资料里举的例子很典型：短时间内频繁访问招聘类网站、把工作文档批量打包、在下班时段多次往私人存储介质拷贝文件、向外部邮箱发送大量业务资料。这些行为单独看都不算异常，往往是聚起来之后才有意义。
问题在于，要拿到这些信号，平台就必须持续采集人的行为数据——访问了什么、什么时候、下载了多少、往哪里传。采集深度一旦超过「业务系统交互」这条线，就会触到通信内容、个人设备与个人账号这些不属于工作范畴的区域。而这类采集是技术上一顺手就会做过头的类型：数据接进来了，价值就摆在那里，很难有人主动去删。
四道边界
一、范围：只采与业务系统交互留下的痕迹
可以采的是：业务系统的登录与操作记录、文件服务的下载与外发记录、办公终端的软件与设备接入记录、网络访问的元数据（谁、什么时候、访问了哪一类站点）。不采的是：通信内容本身、个人设备上的数据、未接企业网络的个人账号活动。判断标准可以简化成一句：这条数据是「用公司资源和公司账号做事」产生的，才在范围内。
二、告知：员工要知道被监测什么
告知的目的不是走过场。「公司会监测你在业务系统上的操作记录」和「公司会分析你的一切上网行为」，对员工的行为影响完全不同，对事后解释的意义也完全不同。告知内容至少要覆盖：采集哪些类别、用途是什么、谁能看到、留存多久。
三、权限：按用途分级，而不是按职级
同一份行为数据，不同角色能看到的粒度应当不同。常见的分法是把「看结论」和「看原始记录」分开：日常运营与合规岗位看到的是脱敏后的统计与结论；原始记录只有少数授权岗位在具体事件调查中才能调取，并且这次调取本身要留痕。产品资料里给出的分级权限也是这样设计的——普通管理员只看脱敏日志，原始敏感内容限授权人员可见。
四、留存：到期要有处置，不是无限期存着
行为数据既受审计要求约束（日志类通常有明确的留存时长要求），也受个人信息保护的要求约束（不该长期保留超出用途的数据）。这两条并不矛盾，做法是把数据分类：与审计相关的业务操作日志按合规周期留存，行为分析产出的中间结果按分析目的设定更短的周期，到期后按既定规则清理或销毁，并且这个动作本身要可查。
落地时的一个提醒
这四道边界里，前三道靠制度就能定，第四道必须落到平台的配置上——包括数据分类、保留周期、到期动作。很多项目在建设期把这部分留到「以后再说」，结果是几年之后平台里堆着一批没人说得清用途和期限的数据，清理反而比当初规划更麻烦。
边界与前提
三点需要说明。其一，不同行业与不同系统等级适用的留存与合规要求不同，具体周期应以行业主管要求与内部制度为准。其二，本文讨论的是采集与使用的边界，不涉及对具体产品的评价。其三，「发现内部风险」与「监视员工」之间没有一劳永逸的分界线，需要定期复核采集范围是否仍然匹配当前用途。深圳市奇摩计算机有限公司在企业日志平台与安全运营项目的落地中，会把数据分类、权限分级与留存处置写进建设清单，而不是留到上线之后补。
需要梳理这套边界与配置，欢迎 预约咨询。