Журнал аудита

Что это значит

Журнал аудита - это запись о том, кто, когда и что сделал в системе: вход, открытие документа, изменение суммы в счёте, экспорт списка клиентов, удаление документа. Хранится так, чтобы обычный пользователь не мог его изменить или стереть.

Речь не о слежке за людьми, а о восстановимости событий. Когда что-то расходится - пропадает документ, меняется номер счёта в реквизитах - журнал остаётся единственным способом понять, была ли это ошибка, законная правка или атака.

Журнал аудита путают с техническим логом и с резервной копией. Технический лог нужен разработчикам для поиска ошибок, резервная копия хранит содержимое для восстановления. Журнал аудита отвечает на другой вопрос: кто внёс изменение и что было до него. Из копии можно вернуть прежнее состояние, но нельзя узнать, кто и когда его изменил.

Как это работает на практике

В учётных и зарплатных системах журнал является частью внутреннего контроля и дополняет управление доступами: права говорят, кому что разрешено, журнал - что человек сделал на самом деле. При инциденте GDPR именно журнал становится основанием для уведомления регулятора.

Практически настраивают, какие события записываются, сколько хранятся и кто имеет право их читать. Доступ к журналу должен быть у другого человека, а не у того, чьи действия записываются.

Журнал мы используем и для обычных вопросов клиента: почему изменился остаток за закрытый месяц, кто перепровёл счёт поставщика, когда был загружен документ. При исправлении бухгалтерской записи должно быть видно, что изменилось, кто и когда это сделал, и в учётной программе этот след хранит именно журнал. Ответ тогда не приходится восстанавливать по памяти.

На что обратить внимание

Журнал, который никто не читает, - просто файл. Ценность появляется, когда есть регулярный разбор необычных событий: массовый экспорт, доступ вне рабочего времени, повторяющиеся неудачные входы. Последнее - заодно повод включить двухфакторную аутентификацию.

Журнал часто хранят меньше, чем нужно. Если система удаляет записи через несколько недель, то при инциденте, обнаруженном спустя месяцы, следа уже нет. Кроме того, журнал сам содержит персональные данные - имена, IP-адреса, время входа - и нуждается в той же защите, что и остальные данные: несанкционированный доступ к нему тоже является нарушением защиты персональных данных.