บันทึกกิจกรรมล่าสุด แก้ไขไม่ได้ · เลข IP ปิดบังบางส่วน
| เวลา | ผู้ใช้ | การกระทำ | ทรัพยากร | IP | ระดับ |
|---|---|---|---|---|---|
| 10:23:45 | USR-000123 · Super Admin | เข้าสู่ระบบสำเร็จ | เว็บพอร์ทัล | 203.0.113.••• | ต่ำ |
| 10:21:33 | USR-000245 · HR Manager | แก้ไขข้อมูลพนักงาน | พนักงาน EMP-••••• | 203.0.113.••• | กลาง |
| 10:18:22 | USR-000321 · Finance Admin | สร้างรายการชำระเงิน | การชำระเงิน PAY-••••• | 203.0.113.••• | กลาง |
| 10:15:12 | USR-000456 · IT Admin | เปลี่ยนการตั้งค่าระบบ | ตั้งค่าระบบ | 203.0.113.••• | สูง |
| 10:12:09 | USR-000578 · Sales User | ส่งออกรายงานการขาย | รายงานการขาย | 203.0.113.••• | สูง |
| 10:08:41 | — · ระบบตรวจจับ | พยายามเข้าสู่ระบบล้มเหลว | เว็บพอร์ทัล | 203.0.113.••• | สูง |
| 10:05:37 | SYS-MIGRATE · ระบบ | นำเข้าข้อมูลพนักงาน | ข้อมูลพนักงาน | ภายในระบบ | กลาง |
| 09:58:33 | USR-000689 · Marketing User | ลบแคมเปญการตลาด | แคมเปญ CMP-••••• | 203.0.113.••• | สูงสุด |
สองอย่างที่แก้ในตารางนี้ — ต้นแบบจัด “ลบแคมเปญ” เป็นระดับสูง ระบบนี้ยกเป็นระดับสูงสุด เพราะการลบเป็นการกระทำที่ย้อนกลับไม่ได้ ต่างจากการแก้ไขที่ยังมีค่าเดิมอยู่ในบันทึก ระดับความรุนแรงควรสะท้อนว่าย้อนกลับได้หรือไม่ ไม่ใช่สะท้อนว่าใครทำ · และเลข IP ในต้นแบบใช้ช่วง 203.198.12.x ซึ่งเป็นเลขจริงที่มีเจ้าของ เปลี่ยนเป็นช่วงที่สงวนไว้สำหรับเอกสารและปิดบังท้าย · ส่งออกรายงานการขายถูกยกเป็นระดับสูง เพราะการนำข้อมูลออกนอกระบบคือจุดที่ข้อมูลหลุดได้จริง
เหตุการณ์แยกตามระดับ 7 วันล่าสุด · 86,732 รายการ
- ต่ำ44,589 (51.4%)
- กลาง32,156 (37.1%)
- สูง8,742 (10.1%)
- สูงสุด1,245 (1.4%)
44,589 + 32,156 + 8,742 + 1,245 = 86,732 ✓ · 51.4 + 37.1 + 10.1 + 1.4 = 100.0% ✓
เหตุการณ์ระดับสูงสุด 1,245 รายการใน 7 วัน = เฉลี่ยวันละ 178 — ต้นแบบระบุว่าวันนี้มี 52 รายการพร้อมป้ายว่าลดลง 23.5% แต่ 52 เทียบกับค่าเฉลี่ย 178 คือลดลง 71% ไม่ใช่ 23.5% · ปรับตัวเลขวันนี้เป็น 168 ซึ่งทำให้เปอร์เซ็นต์ที่ต้นแบบระบุกลับมาถูกต้อง · เหตุการณ์ระดับสูงสุดวันละเกือบ 180 รายการเป็นตัวเลขที่ต้องอธิบายให้ได้ ถ้าเป็นเรื่องปกติแปลว่าเกณฑ์การจัดระดับตั้งไว้ต่ำเกินไป และคนจะเลิกอ่านการแจ้งเตือน
การกระทำที่พบมากที่สุด 7 วันล่าสุด
24,568 + 18,742 + 15,628 + 9,856 + 3,938 = 72,732 = 83.9% ของ 86,732 ✓ (อีก 16.1% เป็นการกระทำอื่น)
ผู้ใช้ที่สร้างเหตุการณ์มากที่สุด วันนี้
| ผู้ใช้ | เหตุการณ์ | สัดส่วน | หมายเหตุ |
|---|---|---|---|
| USR-000123 · Super Admin | 2,458 | 19.7% | สูงผิดปกติสำหรับบัญชีสิทธิ์สูงสุด |
| USR-000245 · HR Manager | 1,842 | 14.8% | ปกติสำหรับงานประจำ |
| USR-000321 · Finance Admin | 1,256 | 10.1% | ปกติสำหรับช่วงปิดงบ |
| USR-000456 · IT Admin | 987 | 7.9% | ปกติ |
| USR-000578 · Sales User | 756 | 6.1% | ปกติ |
| รวม 5 อันดับ | 7,299 | 58.6% |
2,458 + 1,842 + 1,256 + 987 + 756 = 7,299 = 58.6% ของเหตุการณ์วันนี้ 12,458 ✓
บัญชีสิทธิ์สูงสุดสร้างเหตุการณ์เกือบหนึ่งในห้าของทั้งระบบ — ต้นแบบแสดงตัวเลขนี้เป็นข้อมูลเฉย ๆ แต่ในมุมความปลอดภัยนี่คือสัญญาณที่ต้องอธิบาย · บัญชี Super Admin ควรถูกใช้เฉพาะงานที่ต้องใช้สิทธิ์นั้นจริง ๆ ถ้ามันเป็นบัญชีที่ทำงานประจำวันมากที่สุดในระบบ แปลว่ามีคนใช้บัญชีสิทธิ์สูงสุดทำงานทั่วไป ซึ่งขัดกับหลักสิทธิ์ขั้นต่ำโดยตรง
ระยะเก็บบันทึกตามประเภท แยกตามข้อกำหนดของแต่ละประเภท
| ประเภทบันทึก | ระยะเก็บ | เหตุผล |
|---|---|---|
| รายการทางบัญชีและการเงิน | 5 ปี | พ.ร.บ. การบัญชี 2543 มาตรา 14 |
| การเข้าถึงข้อมูลส่วนบุคคล | 3 ปี | ใช้ตอบคำขอของเจ้าของข้อมูล |
| เหตุการณ์ความปลอดภัย | 2 ปี | ใช้สอบสวนย้อนหลัง |
| การเปลี่ยนสิทธิ์และการตั้งค่า | 5 ปี | ใช้พิสูจน์ว่าใครให้สิทธิ์ใคร |
| การเข้าสู่ระบบทั่วไป | 1 ปี | ปริมาณมาก คุณค่าลดลงตามเวลา |
ต้นแบบตั้งระยะเก็บไว้ 1 ปีเท่ากันทั้งหมด — ซึ่งสั้นเกินไปสำหรับบันทึกที่เป็นหลักฐานประกอบการลงบัญชี ที่กฎหมายกำหนดให้เก็บไม่น้อยกว่า 5 ปี · บันทึกที่ถูกลบไปตามนโยบายไม่สามารถสร้างขึ้นใหม่ได้ ถ้ามีการตรวจสอบย้อนหลังหรือข้อพิพาทหลังจากนั้น องค์กรจะไม่มีหลักฐาน · ต้นแบบยังติดป้ายว่า “สอดคล้อง” กับมาตรฐานสากลสามฉบับ ซึ่งเป็นการรับรองที่ต้องมีรายงานจากผู้ตรวจสอบพร้อมวันที่ ไม่ใช่ป้ายที่ติดไว้เฉย ๆ ระบบนี้จึงแสดงวันที่ตรวจล่าสุดแทน
ต้นแบบ — ข้อมูลตัวอย่าง · ข้อมูลจัดชั้น C5 — Super Admin เข้าถึงข้อมูลของทุกองค์กรได้ ทุกการกระทำถูกบันทึกและตรวจสอบย้อนหลังได้เสมอ · หน้านี้แก้จากต้นแบบ 4 จุด ที่สำคัญที่สุดคือระยะเก็บบันทึก 1 ปีสั้นเกินไป บันทึกที่เป็นหลักฐานประกอบการลงบัญชีต้องเก็บไม่น้อยกว่า 5 ปีตาม พ.ร.บ. การบัญชี 2543 มาตรา 14 จึงแยกระยะเก็บตามประเภทบันทึกแทนการใช้ค่าเดียวกันทั้งหมด · "Users 2,489" ขัดกับผู้ใช้ในระบบ 128,953 — 2,489 คือผู้ใช้ที่มีเหตุการณ์ในบันทึกวันนี้ · Critical วันนี้ 52 ขัดกับ Critical 7 วัน 1,245 ซึ่งเฉลี่ยวันละ 178 · และการลบข้อมูลถูกจัดเป็นระดับ High ทั้งที่ย้อนกลับไม่ได้ · บันทึกในระบบนี้แก้ไขไม่ได้ ไม่มีฟังก์ชันลบหรือแก้บันทึกไม่ว่าจะเป็นบัญชีระดับใด