审计留痕字段与回放复核的登记方法

留痕字段清单与记录口径的取值范围

留痕字段分三类：谁发起、做了什么、依据是什么。发起方字段记账号与所属分组，操作字段记会话时长、涉及设备编号与功能动作，依据字段记工单审批编号、变更单编号和当时的安装包版本。三类字段缺一不可，尤其是依据字段——没有审批编号的记录，在事后追责时无法证明这次远控是被授权的。因此我们在审计台账里给每条记录加 1 个采样标识，抽样复核时按标识随机调取。这三类字段与资产台账的登记项一一对应，台账里没有登记的设备编号，本身就不该出现在留痕记录中。

回放回溯的实际操作路径与权限要求

回放不是录屏，是按事件序列重建一次会话。审计人员从审计台账按时间定位到目标记录，依次调取发起方、操作与依据三类字段，再对照当时的资产台账版本确认被控端属于哪一批部署、是否处在灰度批次窗口内。整个过程只读，任何一次调取本身也要留下 1 条留痕记录，复核按采样口径查看抽查者动过哪些数据，避免复核过程本身成为新的审计盲区。复核结论要写进审计台账的备注字段，注明抽查者与抽查时间，涉及权限调取的申请也要单独留下申请记录。

留存周期的设定原则与到期处置动作

1. 第一步确定留存基线：按 12 天区间的抽样复核结果设定最短留存周期，实验室内网当前保留 1 个完整区间的审计记录备查，基线变更要重新评估存储占用。
2. 第二步分层存储：热数据存 12 天内数据，冷数据按资产台账中的归档批次打包，存储条件写入留存条款，打包时按时间顺序排列便于回放。
3. 第三步到期校验：每批次到期前按采样口径抽检 1 条记录，核对字段完整性条件是否满足归档要求，缺字段的记录退回补录而不是直接归档。
4. 第四步归档交接：归档包附工单编号与 1 个安装包版本号，接收方在资产台账中登记交接，统计归档数量与覆盖的终端范围。
5. 第五步到期处置：超过留存周期的记录按条款处理，处置动作留 1 条操作记录，作为下一轮抽样复核的基线，处理动作要写清依据条款。
6. 第六步复核抽样方式：每轮复核结束后按 12 天区间的记录回看抽样方法，确认样本覆盖了不同分组与不同类型的账号，避免复核只盯着已经出过问题的那几类记录。

本页留痕字段与留存周期为自建实验室的管理实践口径，不对应任何厂商的官方审计能力说明；真实合规要求应以本单位制度与适用法规为准。留存周期一旦定下就不随批次临时调整，否则复核时无法判断记录是否过期。