集中管控缺失是什么
三级要求「安全管理中心」对分散在各设备上的审计数据进行集中收集汇总与分析，并对安全组件集中管控。常见不符合是各设备各管各的、没有集中平台，或者平台建了只收集不分析、告警不处置。整改方向四步走：统一收集、关联分析、告警处置工单化、管理操作自身三权分立并审计留痕。
基本信息
| 条款依据 | GB/T 22239-2019 安全管理中心（三级） |
|---|---|
| 管控对象 | 主机、网络设备、安全设备、应用系统 |
| 接入方式 | syslog 转发、agent 采集、日志 SDK、API 对接 |
| 留存要求 | 日志留存时间符合法律法规与条款要求 |
| 分析要求 | 具备关联分析与告警规则，而非只存储 |
| 自身安全 | 平台账号三权分立、管理操作留痕 |
典型使用场景
- 三级系统测评前的日志集中化改造
- 告警噪音治理与分级派单流程建设
- 多机房、多品牌设备日志的统一接入
- 日志留存期与存储容量规划
- 平台自身权限与操作审计的加固
整改方向
整改方向
# 收集：主机、网络设备、安全设备、应用日志统一接入
# 分析：配置关联分析与告警规则
# 处置：告警工单化，记录处置过程与结论
# 管理：三权分立账号 + 管理操作审计
# 验证：抽查一条告警，能追到原始日志与处置记录集中管控对象与接入
| 对象 | 接入方式示例 | 留存与管控要求 |
|---|---|---|
| Linux 主机 | rsyslog 转发或 agent 采集 | 日志集中留存并纳入资产清单 |
| 网络设备 | syslog 输出 | 登录与配置变更日志集中留存 |
| 安全设备 | syslog 或 API 对接 | 告警联动与处置记录 |
| 应用系统 | 日志 SDK 或文件采集 | 关键操作可追溯 |
只买日志平台不做分析与处置，条款要求的是集中监控与告警联动，平台空转同样判不符合。
平台自身账号不分权会成为新的风险点：收集、分析、审计三类角色分设，并对平台管理操作单独留痕。