什么才算证据
巡检报告写了「本周期全部合格」并不构成证据。审计要问的是：依据哪一版检查项、覆盖了哪些目标、原始结果长什么样、判定规则是什么、何时由谁执行。这些元数据缺失，结论就不可复核也不可解释。证据留存的目标是让一个不了解巡检平台的人，仅凭留存材料就能重现判断过程，并在标准变更后仍能说明当时的判定依据。
基本信息
| 证据要素 | 检查项定义与版本、目标清单、原始结果、判定规则、执行主体与时间 |
|---|---|
| 留存期限 | 按合规与内控要求设定，不同材料可不同期 |
| 存储要求 | 集中存储、只追加、按周期可检索 |
| 可复现性 | 脚本版本与运行环境可还原 |
| 失败处理 | 失败与未执行同样是结果，需如实留存 |
典型使用场景
- 等级保护测评与内审取证：按条款提供对应周期的完整材料
- 周期性合规报告：把多周期结果组织成可核查的报告与附件
- 故障前状态快照：为事后分析提供同周期基线数据
- 整改闭环验证：整改单与复检结果关联，形成闭环证据
- 对外审计配合：在约定范围内提供清晰、可解释的留存材料
证据材料与常见缺失
| 材料 | 作用 | 常见缺失 |
|---|---|---|
| 检查项定义与版本 | 证明当时依据的标准与阈值 | 只留结论，标准变更后无法解释判定 |
| 目标清单快照 | 证明实际覆盖范围 | 只记数量不记清单，覆盖率无法举证 |
| 原始结果 | 支持复核与重算 | 只留汇总截图，无法抽样复核 |
| 判定规则 | 解释合格与不合格的依据 | 规则未留，结论不可复现 |
| 执行记录 | 证明何时由谁以何方式执行 | 缺时间与主体，证据链断裂 |
| 整改与复检 | 形成问题闭环 | 只留首次结果，整改无证据 |
证据包结构示意
证据包结构示意
evidence_pack:
period: 2026-09
check_set: baseline-linux-v4 # 检查项集合与版本，标准变更后可对照
targets: targets-20260901.csv # 目标清单快照：证明覆盖了谁
results: raw-20260901.jsonl # 原始采集结果，支持抽样重算
rules_digest: sha256:3d91... # 判定规则摘要，结论可复现
executed_by: sweep@automation # 执行主体
executed_at: 2026-09-01T02:00+08:00
exceptions: 3 项未执行，原因见 notes # 未执行也要留痕，不能只报合格率
retention: 按合规要求设定保存期，到期销毁需留销毁记录证据包要能独立读懂：脱离巡检平台也应能解释「查了什么、依据什么、结果如何」。把材料存成平台内部格式却不导出说明，等于把可解释性绑在工具上。
留存不是无限期堆积。按合规要求设定期限，到期销毁要留下销毁记录；同时注意证据包常含网络与账号信息，分发范围要按需限定。