审计看的是证据链
内外部审计关注的不是「修了多少」，而是证据链是否完整：变更审批、执行记录、验证结果、例外审批四类材料，要能按资产与时间检索出来。最常见的抽查方式是随机挑一台主机，要求给出近一年的补丁记录；能不能在几分钟内拼出完整链条，反映的就是日常留痕是否规范。
基本信息
| 证据类别 | 审批、执行、验证、例外 |
|---|---|
| 审批材料 | 变更单、紧急授权记录 |
| 执行材料 | 命令输出、包列表、执行人 |
| 验证材料 | 版本核对、复扫报告、回归记录 |
| 例外材料 | 风险接受审批、补偿控制与到期复审 |
| 检索要求 | 按资产 ID、时间范围、补丁编号三个维度建索引 |
| 抽查目标 | 随机选一台资产，数分钟内给出完整证据链 |
证据清单
| 类别 | 材料示例 | 来源 |
|---|---|---|
| 审批 | 变更单、紧急授权记录 | 变更系统 |
| 执行 | 命令输出、包列表、执行人 | 工单与执行日志 |
| 验证 | 版本核对、复扫报告、回归记录 | 验证平台与扫描结果 |
| 例外 | 风险接受审批、补偿控制到期复审 | 例外台账 |
| 台账 | 补丁记录与覆盖率数据 | 补丁台账 |
| 资产范围 | 资产清单与变更记录 | 资产台账 |
抽查准备示例
抽查准备示例
# 审计常见抽查：某台主机近一年的补丁记录
# 检索维度建议：资产ID + 时间范围 + 补丁编号
# 演示路径：随机选一台资产，5 分钟内给出完整证据链
# 自检方式：自己先做一次抽查演练，记录耗时与缺口典型使用场景
- 内外部审计前的自查与演练
- 监管检查中的材料准备
- 事件复盘时的记录追溯
- 外包交付物的证据核对
- 整改闭环的证明
- 年度合规报告的数据来源
证据准备是日常工作方式的结果：留痕规范时，审计只是导出动作；留痕不规范时，审计前的突击整理反而更容易暴露前后矛盾。
审计前突击补记录风险很高：时间线、审批号与执行日志容易对不上，一旦被认定记录失实，问题性质比原本的补丁超期严重得多。