稽核日誌與支援存取：誰在何時改了什麼

想像一下 Marta，一家擁有兩層樓和一座停車場、250 人公司的辦公室經理。星期二上午 9:50，十分鐘內有三個人傳訊息給她：他們的工位預訂被當成爽約釋出了，可是他們和每週一樣在 9:40 就到了。有東西被改了，卻沒有人記得自己改過。組織裡有四位管理員，外加一個從公司目錄同步使用者的整合。問題很簡單：誰在什麼時候改了什麼？

一週後，她的個資保護長在年度供應商審查中提出另一個問題：「軟體供應商今年有沒有查看過我們的資料？如果有，是什麼時候？」這類問題通常是用一份政策文件回答的。Marta 則希望用一份清單來回答。

本文逐步說明 Desk & Park 的稽核日誌如何回答這兩個問題，以及它不做什麼。

步驟 1：打開稽核日誌，找出那項變更

管理員可以在 審計日誌（即稽核日誌）中找到它。最上方有三個計數器：過去 24 小時的事件數、警告數與嚴重事件數。下方是一張最新紀錄的表格，最新的排在最前面，欄位如下：

時間戳：發生的時間。
嚴重程度：資訊、警告或嚴重。
操作者：做出變更者的電子郵件地址，下方附上其角色；自動執行的動作則顯示「system」。
操作與資源：做了什麼，以及對哪一類物件。
詳情：涉及的值，例如角色變更時顯示 role: MEMBER → ADMIN。
IP 位址：請求來自哪裡。

Marta 在搜尋框（「按操作者、操作或詳情搜尋…」）中輸入「policy」。紀錄就在那裡：昨天 17:12，其中一位管理員修改了預訂政策，縮短了報到期限。這筆紀錄保存了變更前後的值，所以接下來的討論是關於新的期限是否合理，而不是誰做的。（若您正在調整這個期限，〈幽靈預訂與自動釋出〉一文說明了其中的取捨。）

會記錄哪些內容

日誌涵蓋管理員可能需要還原的所有變更：使用者與角色、預訂、空間與地圖、據點、預訂政策、整合、單一登入與 SCIM 設定、行事曆同步、訪客、自助機裝置與備份。由 SCIM 佈建自動做出的變更也會出現，因此「目錄停用了這個人」和「管理員停用了這個人」是可以區分的。

每筆紀錄都會保存操作者及其角色、動作與所涉及的物件、結果、變更前後的值、IP 位址，以及瀏覽器的使用者代理字串。

嚴重程度篩選

角色變更、停用與刪除會標示為警告。失敗的動作則是嚴重。依嚴重程度篩選是最快的每週檢查方式：把篩選設為警告，瀏覽一下誰被升級或停用，就完成了。

步驟 2：安全動態，合併在同一張表格中

內容變更只是一半的面貌。同一張表格也會顯示安全動態：登入成功與失敗、多次失敗後的鎖定、要求輸入及輸入錯誤的雙重驗證碼、開啟或關閉雙重驗證、密碼重設與變更，以及已撤銷的工作階段權杖被重複使用。登入失敗、鎖定或權杖重複使用會顯示為嚴重；關閉雙重驗證則顯示為警告。

對 Marta 來說，這代表只要看一個地方。如果某個帳號在 7:00 被鎖定，又在 7:05 被變更角色，這兩列會緊挨在一起。

步驟 3：回答個資保護長——支援存取記錄在您自己的日誌中

接著是第二個問題。當平台營運方，也就是營運 Desk & Park 的團隊，為了協助處理工單而打開貴組織的支援檢視時，系統會在貴組織自己的稽核日誌中寫入一筆紀錄。它會顯示為 TENANT SUPPORT ACCESS，並附上營運人員的電子郵件地址、時間與 IP 位址。

所以 Marta 在搜尋框中輸入「support」，就能以清單形式得到答案：供應商方面是誰、在什麼時候打開了組織的資料。這就是「我們有一項政策」與「這是紀錄」之間的差別。這筆紀錄進入的是您的日誌，而不是只有供應商才能讀的日誌。由於頁面顯示的是最新的紀錄，Marta 把這項檢查變成每月的習慣，並保存匯出檔，而不是等到年度審查才做。

日誌存放在哪裡，保留多久

Desk & Park 中的每個組織都有自己的 PostgreSQL 資料庫，以及自己的資料庫登入角色，稽核日誌就存放在那裡，與您的使用者、地圖和預訂放在一起。我們在〈為什麼您的職場資料需要獨立的資料庫〉中說明了這種架構為何重要。安全動態則由平台的登入服務保存，並篩選出貴組織的部分顯示給您。

稽核與安全紀錄預設保留 365 天，之後會依隱私權政策中的保存期限自動刪除。在日誌周圍，還有管理員對組織資料擁有的其他控制項：

組織資料庫的每晚加密備份，組織的管理員可以將其關閉。
組織資料的 JSON 匯出，供管理員使用。
針對整個組織的刪除請求。

資料處理條款請見 DPA。

實用建議

讓每個人都有自己的管理員帳號。 共用的「admin@」登入會讓「操作者」欄位毫無用處。一人一個帳號。
每週花五分鐘檢查。 先篩選警告，再篩選嚴重。留意您沒預料到的角色變更和重複的登入失敗。
若需要更長的歷史，請自行保留副本。 匯出 CSV 按鈕會下載目前頁面上已載入的紀錄，也就是最新的那些。如果您的稽核人員要求超過一年的資料，請定期匯出，並把檔案和其他法規遵循紀錄存放在一起。
把支援存取納入供應商審查。 每月一次，搜尋「support」，匯出結果並歸檔，供年度審查使用。只要一分鐘。
搭配強化的管理員登入。 日誌告訴您發生了什麼；每個管理員帳號都開啟雙重驗證，能降低壞事發生的機率。請參閱〈工位預訂的 SSO、通行金鑰與雙重驗證登入〉。

範圍：它不做什麼

管理頁面顯示的是最新的紀錄，並提供針對這些紀錄的自由文字搜尋與嚴重程度篩選，而不是依日期範圍篩選。CSV 匯出涵蓋的是頁面上已載入的紀錄，而不是整年的資料。沒有把稽核事件串流到 SIEM 的功能。超過保存期限的紀錄會被刪除，因此長期封存靠的是您的匯出，而不是產品本身。此外，上述的隔離是每個組織一個獨立的資料庫，而不是獨立的硬體。

常見問題

誰可以看到稽核日誌？

組織的管理員。這個頁面在同一張表格中顯示內容變更（使用者、角色、預訂、地圖、政策、整合）與安全動態（登入、失敗、鎖定、雙重驗證與密碼事件）。

我們看得到供應商的支援團隊何時存取了我們的資料嗎？

看得到。當平台營運方打開貴組織的支援檢視時，一筆附有營運人員電子郵件、時間與 IP 位址的 TENANT SUPPORT ACCESS 紀錄，會寫入您自己的稽核日誌。搜尋「support」即可列出最近的紀錄；若需要整年的紀錄，請定期匯出。

稽核紀錄保留多久？

預設 365 天；較舊的紀錄會自動刪除。若需要更長的歷史，請定期把日誌匯出為 CSV，並自行保存檔案。

我們可以依日期篩選稽核日誌嗎？

管理頁面上不行。您可以依操作者、操作或詳情搜尋最新的紀錄，依嚴重程度篩選，並匯出為 CSV，在試算表中進一步分析。

稽核日誌是否與其他客戶分開存放？

是的。每個組織的稽核日誌都存放在該組織自己的 PostgreSQL 資料庫中，與其使用者、地圖和預訂放在一起。