定制软件操作审计日志怎么记
定制软件的操作审计日志，要记下谁登录、谁导出、谁核准、谁改了设置，并写明保存多久、旧行能否被改，以及谁可以读。维运手册回答这一班去哪里看日志；范围变更回答规格由谁收下；知识库权限回答文件库里的搜索、打开和导出；这一页回答业务程序里这四种动作留下的记录。
目录
操作日志和维运、变更、知识库分开写
维运手册回答正式环境已经在用时，日志和看板放在哪、这一班先查哪一步。范围变更回答规格要不要改、谁可以收下修改。知识库权限回答某一组文件谁可以搜索、打开或导出，以及那些动作的审计栏位。操作审计日志回答的是另一件事：这个业务程序里，登录、导出、核准和设置变更，由谁在什么时候做成，事后还能不能读到原来那一行。四份可以指到同一次操作的编号。分别见 定制软件维运手册怎么写、定制软件范围变更怎么管、知识库权限分级怎么设。
交付仍走 定制软件、网站与应用程序。事故时间线若要引用日志，见 定制软件事故事后检讨怎么写。封面写这本日志的版本、存放路径，以及它对上的程序版本。知识库那四栏不抄进业务程序，业务程序的四种动作也不拿去充当文件库的权限表。
先选定登录、导出、核准和设置变更
2026年11月2日阅读的 NIST SP 800-53 Rev. 5.2.0 电子目录 标题写明是 Electronic (OSCAL) Version of NIST SP 800-53 Rev 5.2.0 Controls，元数据 last-modified 为 2026-10-22，版本 5.2.0。同一份目录的 AU-2 要求指出系统有能力记录的事件类型、选定其中要记的类型，并说明为何这些类型足以支持事后调查。知识库那一篇已用它来选搜索、打开和导出。这一页选定的是业务程序的四种：登录、导出、核准、设置变更。
每一种写上理由：登录用来对上是谁进来，导出用来对上数据有没有被带出，核准用来对上是谁点头，设置变更用来对上参数是谁改的。理由空白的那一种，还不算已选事件，程序不把它写进这本日志。目录没有规定必须再加第五种，也没有规定每一种要在几秒内写完。公司若要多记一种，在同一行写名称和理由，并注明日期。
已写下的一行受到保护，不得改、不得删
同一份目录的 AU-9 要求保护审计信息和审计工具，使未经授权的人不能访问、修改或删除，并在检测到未经授权的访问、修改或删除时，通知组织指定的人员或角色。讨论写明，审计信息包括审计记录、日志设置、审计报告，以及当中的个人数据；保护着重在技术上的保护，并把能够访问和执行审计工具的人限于已获授权的人。实体保护不在这一页。
增项 AU-9(1) 的陈述是把审计轨迹写到硬件强制的一次性写入介质，讨论写明这适用于轨迹初次产生，也适用于备份。这是增项，不是每一个定制程序都必须采购的介质。公司若选用，就写下介质名称和启用日期。未选用时，仍然不准改旧行、不准删旧行；要更正，另写一行。口头说改掉上一笔，不代替新的一行。
谁可以读，写成只读名单
AU-9(6) 的陈述是：把审计信息的只读权，授给组织指定的一部分特权用户或角色。讨论写明，把特权用户的授权收成只读，有助于限制这些人造成的损害，例如删掉记录以掩盖活动。目录没有列出职称，也没有说核准人当然可以读日志。
公司写下可以读的人名或角色，并注明日期。名单上的人只能读，不能改、不能删。核准人或改过设置的人，若没有出现在这份名单，就不能打开日志。名单空白，日志不对任何人开放浏览。读取本身若要留痕，另写一行，写谁在什么时候读了哪一段，不把日志正文再贴进新行。
保存多久，由公司写下一段时间
AU-11 的陈述是：把审计记录保存一段组织指定的时间，以支持事后调查，并满足法规与组织自己的保存要求。讨论写明，组织把记录留到确定不再为了行政、法律、审计或其他运营目的而需要为止。讨论举的例子包括美国《信息自由法》请求、传票和执法行动，并写明美国国家档案局的一般记录表是联邦机构的保存政策。那些是讨论里的例子，不是这间公司的保存表。
公司为这四种动作写下保存期，注明谁在哪一天定的，以及这段时间要支持哪一种事后调查。保存期空白，就不按一个估出来的日子删除。期满要删除时，由只读名单以外、另外获准执行删除的人签名；只读名单上的人不能删。删除写成新的一行，旧行在保存期内仍保持原样。
未经授权的改动，通知已经指定的人
AU-9 要求在检测到未经授权的访问、修改或删除时通知指定的人。公司把这个人的名字写在封面，和只读名单可以不同。名字空白，检测到的事件没有收件人，这本日志的保护还不算写完。
通知写明时间、是访问、修改还是删除，以及对上哪一段日志。通知不代替新的审计行。若要写进事故事后检讨，沿用检讨那一篇的时间线，不在通知里重写原因。指定的人缺席时，由封面已经写明的代理人接收；没有代理人，当值的同事不代收。
校正是新的一行，并指回原来那一行
登录失败、导出被拒、核准被退回、设置变更没有通过，同样写一行，结果栏写拒绝。没有结果的一行不算完整。四种动作各自要能填上知识库那一篇已经列出的审计内容：类型、时间、地点、来源、结果、身份。栏位定义不在这里重写，见 知识库权限分级怎么设。
发现某一行记错，不打开那一行去改字。新的一行写校正、指回原来的时间和识别码、写上正确内容，并由记录的人签名。原来那一行保持可读。两行同时被当成「当时的事实」时，以较早那一行为当时的记录，校正行只说明后来的更正。
四种动作、只读名单和保存期写上，这本日志才算在记
四种动作有一种没有理由、只读名单空白、保存期空白，或未经授权时要通知的人没有名字，这本日志不当作已经在记。程序可以先把事件写到暂存，但暂存不是这本日志，也不能拿去给事后调查。
用三件事看日志有没有在记：登录、导出、核准、设置变更都有理由并写得出结果；旧行不能改、不能删，校正另起一行；只读名单和保存期都有日期。有一项空着，调查不引用这批记录。