安全审计与日志审计的区别

很多人被问「你们做过审计吗」时才发现，安全审计和日志审计其实是两条线：一个看控制措施有没有效，一个看记录全不全、能不能还原事件。混在一起做，要么漏掉关键证据，要么白干一堆没人看的报表。这篇给一份辨析清单，帮你判断当前需求属于哪一类、该谁牵头、留什么、什么时候不适用。

日常被问「你们做过审计吗」，很多人第一反应是翻日志。但安全审计和日志审计其实是两条独立的线：一个盯着控制措施有没有生效，一个盯着记录全不全、能不能把事还原出来。用同一套流程硬套，轻则白干一堆没人看的报表，重则关键证据缺失，出事时说不清。

这篇给一份辨析清单，帮运维和审计人员判断当前需求属于哪一类、该谁牵头、留下什么。判断标准都是可执行的，但也不是万能——遇到监管明确要求同时提交两类材料的情况，两者都得做，只是分开交付，不能互相顶替。

先分清：一个问「管得住吗」，一个问「记得住吗」

安全审计的对象是控制措施与权限配置，回答的是策略是否落地、谁能做什么、流程有没有按规矩走。日志审计的对象是记录本身，回答的是发生过的事能否被完整还原、证据链有没有断点。两者的问题不一样，产出物自然也不同。

一个简单的判定方法：把需求写成一句话，如果主语是「制度、权限、配置」多半是安全审计，主语是「记录、留存、可追溯」多半是日志审计。如果写了半天还是分不清，把这句话拿给发起人确认，比闷头做更快。

• 安全审计：检查账号权限是否合理、变更流程是否执行、访问控制有没有绕过、外包与第三方接入是否受控。
• 日志审计：检查采集范围是否覆盖关键系统、字段是否完整、留存周期是否达标、检索和告警是否可用。
• 两者都会看日志，但目的不同——安全审计看日志是为了验证控制措施，日志审计看日志是为了验证记录本身。
• 不适用情形：监管明确要求同时提交两类材料时，二者都要做，不能拿一份报告应付两个口径。

范围和牵头人：两张表对照着看

安全审计通常由安全或内控牵头，覆盖账号权限、变更流程、访问控制、外包与第三方接入。日志审计通常由运维或平台牵头，覆盖采集范围、字段完整性、留存周期、检索与告警。牵头人不同，验收标准也不同。

边界提醒：日志本身也是被审计对象，安全审计会检查「日志有没有被改、谁能删」。别把两者当成上下游就完事，它们有交叉，但目标不同。

证据和留存：能还原事件才算合格

判断日志是否够用，用一次模拟推演最快：随便挑一个操作，从入口到结果能不能串起来。串不起来就是字段或留存不够，补采集比补报告有用。

1. 挑一个操作选一个常见的用户动作，比如创建资源或修改权限，记下操作时间点。
2. 从入口追到结果依次查认证、授权、执行、结果四个环节的日志，看能否拼出完整链路。
3. 找断点哪一环缺记录或字段为空，就是需要补采集的地方；补完再走一遍验证。
4. 确认留存检查留存周期是否覆盖你所在行业的监管要求，口径变化去 /safety 核对当时的条款。

留存周期与脱敏要求以监管口径为准，具体条款和变化去 /safety 核对。日志里不该出现明文凭据、完整个人信息这类内容，处理方式参考站内日志脱敏与留存相关文章，这里不重复。

角色分配与交接：谁签字、谁复核

安全审计的结论通常要有人签字背书，日志审计更多是能力交付，两者的验收标准不同，不要用同一个人同一套标准收口。小团队常见做法是一人兼两职，但要留出独立复核动作，否则出事时无法证明记录未被单方面修改。

• 审计范围说明：覆盖哪些系统、哪些时间段，明确写出未覆盖项。
• 期间与证据清单：每条证据对应哪个结论，方便复核人抽查。
• 未覆盖项与原因：说不清楚为什么没覆盖，后面返工概率高。
• 复核人：独立于执行人，小团队可以找上级或跨组同事担任。

交接时把上面四项写成一页纸，比口头交代靠谱。签字前让复核人随机抽一条证据走一遍，能对上再签。

最容易踩的几个坑

把日志量大当成审计做得好，实际是采集冗余、检索困难，关键字段反而缺失。安全审计只看配置截图，不看实际调用记录，结论站不住。用一次审计结果长期复用，系统改了、人换了、权限变了，结论就失效。