日常违规这件事，攒到月底才看得清

结论先行：企业里真正麻烦的违规，多数不是一次恶意操作，而是一批长期存在的小习惯：高权限账号被几个人共用、门禁卡同事之间代刷、离线设备大半年不联网、非工作时段有人登进运维通道。这些行为单看一次都构不成事件，攒起来才有形状。可行的做法是把它们固定成一份月度报表——口径固定、责任人固定、指标只留几个能看懂的，让它变成一件每月都在做的事，而不是出了事才翻。

本文只谈日常违规类行为的月度盘点怎么做，不谈攻击事件的检测与响应，也不谈内部处理与考核。

为什么这些行为永远进不了事件流程

安全事件的判定需要明确的触发条件：谁在什么时候做了什么，造成了什么。上面这几类行为一条都不满足——共用一个账号，操作记录上是同一个名字；门禁代刷，系统里是一张正常通过的卡；离线设备，什么都没发生。

于是它们长期停在「现象」这一层：运维知道有几台设备一直不在线，主管知道某个账号用的人不止一个，但没有人把它变成一个要处理的条目。年复一年，直到某次审计或某次事故，这些现象才被翻出来，而那时它们的代价已经在别处兑现了。

月度报表的作用就是把「现象」变成「条目」——一旦进入清单，就有了责任人、有了时限、有了闭环的要求。

固定五类行为，别贪多

可盘的行为很多，但一份月度报表能承载的只有五到六类。挑选标准是：这一类行为在日志里稳定可查、误判率可控、且与权限设计原则直接相关。

五类的共同点是都能从既有日志里查出来，不需要新增采集。第六类可以按企业实际再选，但不要一次上到十类——口径越多，维护成本越高，报表在第三个月就会停更。

一项关键的默认：先做留痕，不急着定性

这份报表最容易做歪的地方，是把它做成了追责工具。一旦某个人的名字出现在名单上并附上处理意见，被盘的人立刻开始管理自己的行为记录——共用账号改成轮流登、代刷改成走侧门、离线设备改成定时打卡上线。数据变干净了，风险还在。

可行的做法是把报表的定位定成「留痕与统计」：只记录发生了多少次、分布在哪些部门、与上月比是升还是降，不在报表里给个人定性。需要处理的具体个案，走另外的流程，且要有独立的证据支撑。

这个定位需要事先明确告知。让被监测的人知道盘什么、为什么盘、结果给谁看，比事后解释有效得多。

月度报表留哪几个数

报表不要做成一张大表。四个指标足以支撑决策。

• 发生次数与涉及人数：两个数要一起看。次数涨、人数没涨，说明是少数人高频；人数涨，说明制度没落地。
• 部门分布：用来判断是普遍问题还是个别部门的习惯问题。前者要改制度，后者要改流程。
• 环比变化：不追求降到零。降到零通常意味着数据不通了，而不是行为消失了。
• 存量未闭环项：上月列出、这个月还没处理的条目。这一列最能看出报表有没有真的被用起来。

四个数放在一页上，配两三句文字说明。超过一页的报表，看的人会只看结论那两句。

频率与责任人

月度是合适的频率。周度太频繁，样本量小，波动大，盘出来的差异多数是噪音；季度太长，问题在里面躺三个月。月度报告碰上季度的合规检查，也正好对得上。

责任人要分开：出报表的通常是运维或安全分析岗，处理条目的必须是各条线的负责人。如果两者是同一个人，报表会迅速退化成一份自己写给自己的说明。

出报时间也要固定。可行的是每月第几个工作日出上月报表，写进例行工作项，而不是「有空的时候整理一下」。

落地清单

• 先选五类行为，逐类确认数据来源可查、口径可写清楚。
• 把报表定位成留痕与统计，不在报表里做个人定性，并事先告知范围。
• 报表固定四个数：次数与人数、部门分布、环比、存量未闭环项。
• 出报岗位与处理岗位分开，各条线负责人对条目负责。
• 出报时间固定到每月第几个工作日，写进例行工作。
• 第三个月做一次复盘：哪些类别一直是噪音，可以换掉。

最后一条是这类报表能不能长期活下去的关键。不做淘汰，类别只会越加越多，最终没人看。

边界与前提

三点说明。其一，行为数据的采集范围应与业务系统运行直接相关，被监测对象应知晓监测内容与用途，具体范围与告知方式以内部制度及所在行业要求为准。其二，本文所述行为类别与判定口径属一般性梳理，具体阈值须结合企业实际的班次安排、业务节奏与权限模型设定，本文不作通用结论。其三，报表结论只作管理线索，不构成对任何个人行为的认定，涉及处理的个案应另走程序并独立取证。

深圳市奇摩计算机有限公司是一家 IT 解决方案服务商，在日志与安全运营类项目里，会把月度盘点的类别、口径与出报节奏一并写进交付文档，而不是只交一个能出名单的平台。预约咨询，可以先从现有日志里确认这五类数据是否齐备。