三级安全审计要求
三级「安全审计」要求覆盖五项：启用审计功能且审计范围覆盖到每个用户，对重要用户行为与重要安全事件进行审计；审计记录要素完整，含事件日期时间、用户、事件类型、是否成功等；对审计记录进行保护并定期备份，避免未预期的删除、修改或覆盖；对审计进程进行保护，防止未经授权中断；对分散设备的审计数据集中收集汇总与分析，留存时间符合法律法规要求。
基本信息
| 依据 | GB/T 22239-2019 安全计算环境 安全审计（三级） |
|---|---|
| 覆盖范围 | 覆盖到每个用户，含重要用户行为与安全事件 |
| 记录要素 | 日期时间、用户、事件类型、是否成功等 |
| 记录保护 | 防删除、修改、覆盖，并定期备份 |
| 进程保护 | 防止未经授权中断审计 |
| 集中分析 | 分散设备的审计数据集中收集汇总 |
典型使用场景
- 三级系统安全审计条款的自查与整改
- 审计日志留存期与存储容量规划
- 集中日志平台与审计条款的对接
- 测评现场演示日志查询与完整性保护
- 删除与篡改防护措施的设计
条款要点（三级）
条款要点（三级）
# a 启用安全审计功能，覆盖到每个用户，审计重要用户行为与重要安全事件
# b 审计记录包括日期和时间、用户、事件类型、事件是否成功及其他相关信息
# c 对审计记录进行保护，定期备份，避免未预期的删除、修改或覆盖
# d 对审计进程进行保护，防止未经授权的中断
# e 分散设备的审计数据集中收集汇总分析，留存时间符合法律法规要求五条要求与核查
| 要求 | 落地手段 | 核查方式 |
|---|---|---|
| 覆盖每个用户 | 账号唯一、日志含用户标识 | 抽查不同用户的日志记录 |
| 记录要素完整 | 统一系统与应用日志模板 | 查看日志字段是否齐全 |
| 记录保护 | 集中存储、只追加、权限收紧 | 尝试删除或修改日志 |
| 进程保护 | 服务权限与配置保护 | 检查审计服务状态与配置权限 |
| 集中分析 | 日志平台收集与关联分析 | 抽查告警与处置记录 |
测评常用「抽查查询 + 现场删除测试 + 备份记录」组合验证记录保护与进程保护：先看能不能查，再试着删，最后看备份与恢复记录。
审计只覆盖管理员是常见问题：条款要求覆盖到每个用户，共享账号或系统账号缺日志同样会被指出。