检查看的是三件事
面对内审、监管检查或等保测评，日志相关的应对可以归纳为三件套：制度（有没有规定、规定是否合理）、记录（有没有按制度执行、有没有留痕）、抽测（现场能否真的把日志查出来）。检查人员最常用的手法不是通读文档，而是给一个具体时间和事件，让你现场检索——能查出来、材料对得上，才算过关。相关要求中，网络日志留存期通常不少于六个月，这一条最容易在容量规划阶段被忽略。
基本信息
| 制度 | 日志管理办法、留存周期规定、岗位职责与授权流程 |
|---|---|
| 记录 | 巡检记录、变更记录、权限申请与审批记录、历史整改证明 |
| 抽测 | 现场按指定日期或事件检索日志并展示结果 |
| 留存要求 | 网络日志留存期不少于六个月，容量与归档策略需覆盖该周期 |
| 责任人 | 明确日志平台的管理员与制度维护人，避免无人对接检查 |
典型使用场景
- 等保测评现场：按测评人员的抽查要求演示日志检索与留存证明
- 内部审计：提供周期内的日志管理制度与执行记录
- 上级或行业检查：准备近半年的巡检、整改与变更材料
- 制度修订后的自查：确认执行动作与最新制度要求一致
- 平台或架构变更后：重新验证检索能力，避免检查当天出现意外
- 跨部门协同：与运维、网络、应用团队明确各自需提供的日志范围与记录
准备清单
准备清单
[ ] 日志管理制度与流程文件（含留存期规定）
[ ] 最近 6 个月巡检与整改记录
[ ] 日志平台账号与权限清单（含审批记录）
[ ] 抽查演示脚本：指定日期与条件检索历史日志 # 提前演练一遍
[ ] 容量与归档方案，证明留存期可覆盖
[ ] 历史问题的整改证明与当前状态说明
[ ] 责任人名单与联系方式，检查期间随时到位检查项读法
| 检查项 | 检查方式 | 常见失分点 |
|---|---|---|
| 制度完备性 | 查阅制度文件与实际执行是否一致 | 制度规定与实际操作两张皮 |
| 留存完整性 | 抽查历史日期日志能否检索到 | 容量不足导致部分周期日志缺失 |
| 权限合规性 | 核对账号与审批记录 | 存在共享账号或离职人员未回收权限 |
| 操作可追溯 | 抽查管理员操作日志 | 关键操作无记录或记录不完整 |
| 演示能力 | 现场按条件检索 | 演示脚本未演练，现场检索失败 |
提前一个月做一次模拟检查，用真实抽查的方式验证准备效果：随机给一个日期，看能不能把当时的日志完整拉出来。这比反复修订制度文本有效得多。