Dziennik audytu i dostęp wsparcia: kto, co i kiedy

Wyobraźmy sobie Martę, office managerkę w firmie zatrudniającej 250 osób, z dwoma piętrami biura i parkingiem. Wtorek, 9:50. W ciągu dziesięciu minut piszą do niej trzy osoby: ich rezerwacje biurek zostały zwolnione jako no-show, choć przyszły o 9:40, jak co tydzień. Coś się zmieniło, a nikt nie pamięta, żeby cokolwiek zmieniał. W organizacji jest czterech administratorów i integracja, która synchronizuje użytkowników z firmowego katalogu. Pytanie jest proste: kto, co i kiedy zmienił?

Tydzień później inspektor ochrony danych zadaje inne pytanie, przygotowując coroczny przegląd dostawców: „Czy dostawca oprogramowania zaglądał w tym roku do naszych danych, a jeśli tak, to kiedy?". Na takie pytania często odpowiada się dokumentem z procedurą. Marta wolałaby odpowiedzieć listą.

Pokazujemy krok po kroku, jak dziennik zdarzeń w Desk & Park odpowiada na oba pytania — i czego nie robi.

Krok 1: otwórz dziennik i znajdź zmianę

Administratorzy znajdą go w zakładce Dziennik zdarzeń. Na górze są trzy liczniki: wszystkie zdarzenia z ostatnich 24 godzin, ostrzeżenia i zdarzenia krytyczne. Pod nimi tabela najnowszych wpisów, od najświeższego, z kolumnami:

• Czas — kiedy to się stało.
• Poziom — Informacja, Ostrzeżenie albo Krytyczne.
• Wykonawca — adres e-mail osoby, która dokonała zmiany, z jej rolą pod spodem, albo „system" dla działań automatycznych.
• Akcja i Zasób — co zrobiono i z jakim rodzajem obiektu.
• Szczegóły — wartości, których dotyczyła zmiana, np. role: MEMBER → ADMIN przy zmianie roli.
• Adres IP — skąd przyszło żądanie.

Marta wpisuje „policy" w pole wyszukiwania („Szukaj po wykonawcy, akcji lub szczegółach..."). Wpis jest: wczoraj o 17:12 jeden z administratorów zmienił zasady rezerwacji i skrócił termin na check-in. Wpis zawiera wartości sprzed zmiany i po niej, więc dalsza rozmowa dotyczy tego, czy nowy termin ma sens, a nie tego, kto go ustawił. (Jeśli dopiero dobierasz ten termin, kompromis opisujemy w artykule o rezerwacjach widmach i automatycznym zwalnianiu miejsc.)

Co trafia do dziennika

Dziennik obejmuje zmiany, które administrator może kiedykolwiek chcieć odtworzyć: użytkowników i role, rezerwacje, miejsca i mapy, lokalizacje, zasady rezerwacji, integracje, ustawienia SSO i SCIM, synchronizację kalendarzy, gości, tablety przy salach i kopie zapasowe. Widać też zmiany wprowadzone automatycznie przez provisioning SCIM, więc „katalog dezaktywował tę osobę" da się odróżnić od „zrobił to administrator".

Każdy wpis zawiera wykonawcę i jego rolę, akcję i obiekt, którego dotyczyła, wynik, wartości przed i po zmianie, adres IP oraz identyfikator przeglądarki (user agent).

Filtr poziomu ważności

Zmiany ról, dezaktywacje i usunięcia mają poziom Ostrzeżenie. Nieudane operacje — Krytyczne. Filtr poziomu to najszybszy cotygodniowy przegląd: ustaw „Ostrzeżenie", przejrzyj, kto dostał wyższe uprawnienia, a kto został dezaktywowany — i gotowe.

Krok 2: zdarzenia bezpieczeństwa w tej samej tabeli

Zmiany treści to tylko połowa obrazu. W tej samej tabeli widać zdarzenia bezpieczeństwa: udane i nieudane logowania, blokady po serii nieudanych prób, wymagane i błędne kody 2FA, włączenie lub wyłączenie 2FA, resety i zmiany haseł oraz ponowne użycie unieważnionego tokenu sesji. Nieudane logowanie, blokada czy ponownie użyty token mają poziom Krytyczne; wyłączenie 2FA — Ostrzeżenie.

Dla Marty oznacza to jedno miejsce do sprawdzenia. Jeśli konto zostało zablokowane o 7:00, a jego rola zmieniła się o 7:05, oba wiersze stoją obok siebie.

Krok 3: odpowiedź dla IOD — dostęp wsparcia zapisuje się w Waszym dzienniku

Teraz drugie pytanie. Gdy operator platformy, czyli zespół, który prowadzi Desk & Park, otwiera widok wsparcia Waszej organizacji, żeby pomóc przy zgłoszeniu, system zapisuje wpis w dzienniku zdarzeń Waszej organizacji. Widać go jako TENANT SUPPORT ACCESS, z adresem e-mail operatora, czasem i adresem IP.

Marta wpisuje więc „support" w wyszukiwarkę i dostaje odpowiedź w postaci listy: kiedy ktoś po stronie dostawcy otwierał dane organizacji i kto to był. To różnica między „mamy procedurę" a „oto zapis". Wpis trafia do Waszego dziennika, a nie do rejestru, który czyta tylko dostawca. Ponieważ strona pokazuje najnowsze wpisy, Marta sprawdza to raz w miesiącu i zachowuje eksport, zamiast czekać na coroczny przegląd.

Gdzie przechowywany jest dziennik i jak długo

Każda organizacja w Desk & Park ma własną bazę PostgreSQL z własną rolą logowania do bazy, a dziennik zdarzeń jest przechowywany właśnie tam, razem z użytkownikami, mapami i rezerwacjami. Dlaczego ta architektura ma znaczenie, wyjaśniamy w artykule Dlaczego dane biura potrzebują izolowanej bazy danych. Zdarzenia bezpieczeństwa rejestruje usługa logowania platformy i pokazuje je Wam przefiltrowane do Waszej organizacji.

Wpisy dziennika i zdarzenia bezpieczeństwa są przechowywane domyślnie przez 365 dni, a potem usuwane automatycznie, zgodnie z okresami przechowywania z polityki prywatności. Wokół dziennika są pozostałe narzędzia, które administrator ma do dyspozycji:

• Nocne, szyfrowane kopie zapasowe bazy organizacji, które administrator organizacji może wyłączyć.
• Eksport danych organizacji do JSON dla administratorów.
• Wniosek o usunięcie całej organizacji.

Warunki powierzenia przetwarzania danych znajdziesz w umowie DPA.

Praktyczne wskazówki

• Każdy administrator ma własne konto. Wspólny login „admin@" sprawia, że kolumna Wykonawca nic nie mówi. Jedna osoba, jedno konto.
• Pięciominutowy przegląd raz w tygodniu. Filtr „Ostrzeżenie", potem „Krytyczne". Szukaj nieoczekiwanych zmian ról i powtarzających się nieudanych logowań.
• Zachowuj kopię, jeśli potrzebujesz dłuższej historii. Przycisk Eksportuj CSV pobiera wpisy załadowane na stronie, czyli najnowsze. Jeśli audytorzy chcą więcej niż rok, eksportuj regularnie i przechowuj pliki razem z inną dokumentacją zgodności.
• Dodaj dostęp wsparcia do przeglądu dostawców. Raz w miesiącu wyszukaj „support", wyeksportuj wynik i odłóż go do corocznego przeglądu. To minuta pracy.
• Połącz dziennik z mocnym logowaniem administratorów. Dziennik mówi, co się stało; 2FA na każdym koncie administratora zmniejsza szansę, że stanie się coś złego. Zobacz Logowanie SSO, klucze dostępu i 2FA.

Zakres: czego to nie robi

Strona administratora pokazuje najnowsze wpisy i pozwala je przeszukiwać tekstowo oraz filtrować po poziomie ważności, ale nie po zakresie dat. Eksport CSV obejmuje wpisy załadowane na stronie, a nie cały rok. Nie ma przesyłania zdarzeń do systemu SIEM. Wpisy starsze niż okres przechowywania są usuwane, więc długoterminowym archiwum jest Wasz eksport, nie produkt. A opisana wyżej izolacja to osobna baza danych dla każdej organizacji, nie osobny sprzęt.

FAQ