Журнал аудиту

Що це означає

Журнал аудиту - це запис про те, хто, коли і що зробив у системі: вхід, відкриття документа, зміна суми в рахунку, експорт списку клієнтів, видалення документа. Зберігається так, щоб звичайний користувач не міг його змінити чи стерти.

Ідеться не про стеження за людьми, а про відновлюваність подій. Коли щось розходиться - зникає документ, змінюється номер рахунку в реквізитах - журнал лишається єдиним способом зрозуміти, чи це була помилка, законне виправлення, чи атака.

Журнал аудиту плутають із технічним логом і з резервною копією. Технічний лог потрібен розробникам для пошуку помилок, резервна копія зберігає вміст для відновлення. Журнал аудиту відповідає на інше питання: хто вніс зміну і що було до неї. З копії можна повернути попередній стан, але не можна дізнатися, хто і коли його змінив.

Як це працює на практиці

В облікових і зарплатних системах журнал є частиною внутрішнього контролю і доповнює керування доступами: права кажуть, кому що дозволено, журнал - що людина зробила насправді. При інциденті GDPR саме журнал стає підставою для повідомлення регулятора.

Практично налаштовують, які події записуються, скільки зберігаються і хто має право їх читати. Доступ до журналу має бути в іншої людини, а не в тієї, чиї дії записуються.

Журнал ми використовуємо і для звичайних запитань клієнта: чому змінився залишок за закритий місяць, хто перепровів рахунок постачальника, коли було завантажено документ. Під час виправлення бухгалтерського запису має бути видно, що змінилося, хто і коли це зробив, і в обліковій програмі цей слід зберігає саме журнал. Відповідь тоді не доводиться відновлювати з пам’яті.

На що звернути увагу

Журнал, який ніхто не читає, - просто файл. Цінність з’являється, коли є регулярний розбір незвичних подій: масовий експорт, доступ поза робочим часом, повторювані невдалі входи. Останнє - заодно привід увімкнути двофакторну автентифікацію.

Журнал часто зберігають коротше, ніж потрібно. Якщо система видаляє записи через кілька тижнів, то під час інциденту, виявленого за кілька місяців, сліду вже немає. Крім того, журнал сам містить персональні дані - імена, IP-адреси, час входу - і потребує такого ж захисту, як решта даних: несанкціонований доступ до нього теж є порушенням захисту персональних даних.