客製軟件操作審計日誌怎麼記
客製軟件的操作審計日誌，要記下誰登入、誰匯出、誰核准、誰改了設定，並寫明保存多久、舊行能否被改，以及誰可以讀。維運手冊回答這一班去哪裡看日誌；範圍變更回答規格由誰收下；知識庫權限回答文件庫裡的搜尋、打開和匯出；這一頁回答業務程式裡這四種動作留下的紀錄。
目錄
操作日誌和維運、變更、知識庫分開寫
維運手冊回答正式環境已經在用時，日誌和看板放在哪、這一班先查哪一步。範圍變更回答規格要不要改、誰可以收下修改。知識庫權限回答某一組文件誰可以搜尋、打開或匯出，以及那些動作的稽核欄位。操作審計日誌回答的是另一件事：這個業務程式裡，登入、匯出、核准和設定變更，由誰在什麼時候做成，事後還能不能讀到原來那一行。四份可以指到同一次操作的編號。分別見 客製軟體維運手冊怎麼寫、客製軟體範圍變更怎麼管、知識庫權限分級怎麼設。
交付仍走 客製軟件、網站與應用程式。事故時間線若要引用日誌，見 客製軟體事故事後檢討怎麼寫。封面寫這本日誌的版本、存放路徑，以及它對上的程式版本。知識庫那四欄不抄進業務程式，業務程式的四種動作也不拿去充當文件庫的權限表。
先選定登入、匯出、核准和設定變更
2026年11月2日閱讀的 NIST SP 800-53 Rev. 5.2.0 電子目錄 標題寫明是 Electronic (OSCAL) Version of NIST SP 800-53 Rev 5.2.0 Controls，後設資料 last-modified 為 2026-10-22，版本 5.2.0。同一份目錄的 AU-2 要求指出系統有能力記錄的事件類型、選定其中要記的類型，並說明為何這些類型足以支持事後調查。知識庫那一篇已用它來選搜尋、打開和匯出。這一頁選定的是業務程式的四種：登入、匯出、核准、設定變更。
每一種寫上理由：登入用來對上是誰進來，匯出用來對上資料有沒有被帶出，核准用來對上是誰點頭，設定變更用來對上參數是誰改的。理由空白的那一種，還不算已選事件，程式不把它寫進這本日誌。目錄沒有規定必須再加第五種，也沒有規定每一種要在幾秒內寫完。公司若要多記一種，在同一行寫名稱和理由，並註明日期。
已寫下的一行受到保護，不得改、不得刪
同一份目錄的 AU-9 要求保護稽核資訊和稽核工具，使未經授權的人不能存取、修改或刪除，並在偵測到未經授權的存取、修改或刪除時，通知組織指定的人員或角色。討論寫明，稽核資訊包括稽核紀錄、日誌設定、稽核報告，以及當中的個人資料；保護著重在技術上的保護，並把能夠存取和執行稽核工具的人限於已獲授權的人。實體保護不在這一頁。
增項 AU-9(1) 的陳述是把稽核軌跡寫到硬件強制的一次性寫入媒介，討論寫明這適用於軌跡初次產生，也適用於備份。這是增項，不是每一個客製程式都必須採購的媒介。公司若選用，就寫下媒介名稱和啟用日期。未選用時，仍然不准改舊行、不准刪舊行；要更正，另寫一行。口頭說改掉上一筆，不代替新的一行。
誰可以讀，寫成只讀名單
AU-9(6) 的陳述是：把稽核資訊的只讀權，授給組織指定的一部分特權使用者或角色。討論寫明，把特權使用者的授權收成只讀，有助於限制這些人造成的損害，例如刪掉紀錄以掩蓋活動。目錄沒有列出職稱，也沒有說核准人當然可以讀日誌。
公司寫下可以讀的人名或角色，並註明日期。名單上的人只能讀，不能改、不能刪。核准人或改過設定的人，若沒有出現在這份名單，就不能打開日誌。名單空白，日誌不對任何人開放瀏覽。讀取本身若要留痕，另寫一行，寫誰在什麼時候讀了哪一段，不把日誌正文再貼進新行。
保存多久，由公司寫下一段時間
AU-11 的陳述是：把稽核紀錄保存一段組織指定的時間，以支持事後調查，並滿足法規與組織自己的保存要求。討論寫明，組織把紀錄留到確定不再為了行政、法律、稽核或其他營運目的而需要為止。討論舉的例子包括美國《資訊自由法》請求、傳票和執法行動，並寫明美國國家檔案局的一般紀錄表是聯邦機構的保存政策。那些是討論裡的例子，不是這間公司的保存表。
公司為這四種動作寫下保存期，註明誰在哪一天定的，以及這段時間要支持哪一種事後調查。保存期空白，就不按一個估出來的日子刪除。期滿要刪除時，由只讀名單以外、另外獲准執行刪除的人簽名；只讀名單上的人不能刪。刪除寫成新的一行，舊行在保存期內仍保持原樣。
未經授權的改動，通知已經指定的人
AU-9 要求在偵測到未經授權的存取、修改或刪除時通知指定的人。公司把這個人的名字寫在封面，和只讀名單可以不同。名字空白，偵測到的事件沒有收件人，這本日誌的保護還不算寫完。
通知寫明時間、是存取、修改還是刪除，以及對上哪一段日誌。通知不代替新的稽核行。若要寫進事故事後檢討，沿用檢討那一篇的時間線，不在通知裡重寫原因。指定的人缺席時，由封面已經寫明的代理人接收；沒有代理人，當值的同事不代收。
校正是新的一行，並指回原來那一行
登入失敗、匯出被拒、核准被退回、設定變更沒有通過，同樣寫一行，結果欄寫拒絕。沒有結果的一行不算完整。四種動作各自要能填上知識庫那一篇已經列出的稽核內容：類型、時間、地點、來源、結果、身分。欄位定義不在這裡重寫，見 知識庫權限分級怎麼設。
發現某一行記錯，不打開那一行去改字。新的一行寫校正、指回原來的時間和識別碼、寫上正確內容，並由記錄的人簽名。原來那一行保持可讀。兩行同時被當成「當時的事實」時，以較早那一行為當時的紀錄，校正行只說明後來的更正。
四種動作、只讀名單和保存期寫上，這本日誌才算在記
四種動作有一種沒有理由、只讀名單空白、保存期空白，或未經授權時要通知的人沒有名字，這本日誌不當作已經在記。程式可以先把事件寫到暫存，但暫存不是這本日誌，也不能拿去給事後調查。
用三件事看日誌有沒有在記：登入、匯出、核准、設定變更都有理由並寫得出結果；舊行不能改、不能刪，校正另起一行；只讀名單和保存期都有日期。有一項空著，調查不引用這批紀錄。