## 概念是什么
审计关心的问题很朴素：谁能进系统、做了什么、谁批准的。举证就是用现成的记录回答这三个问题。很多团队平时不留痕，审计前突击补材料，费时且不可信。最小可用的做法是把权限与日志在平时就维持在可回答状态，审计来时只是导出。
## 背后原理
举证的可信度来自记录的连续性与不可篡改性。权限侧需要一张权限矩阵，写明每个账号的角色与授权理由；操作侧需要登录日志与操作日志，覆盖从登录到关键命令的全过程。两者交叉，才能证明某段时间内系统的变更都有据可查。日志一旦可被随意删除，证据链就断了。
## 最小实操
账号层面，清理共享账号，一人一号，管理员权限单独角色，普通操作不提权。记录层面，开启系统登录审计与应用操作日志，集中存放到独立于业务服务器的位置，保留期按行业要求设定。流程层面，高危操作走工单留痕，顺云控制台的操作记录与工单记录天然形成一对印证。每季度自查一次权限矩阵与实际账号的差异，离职账号当月清零。
## 常见错误
用同一个管理员账号做所有事，事后无法区分操作人。日志存在本机且无保留策略，机器重装后记录清零。权限矩阵只在入职时维护、离职不回收。把举证当成审计前的一次性工程，而不是日常状态，是这些错误的共同根源。举证能力平时就可以自测：随机抽一个历史日期，试着回答那天系统做过哪些变更、由谁执行、依据是什么。答得上来说明体系在工作，答不上来的环节就是下一个要补的洞。把这样的抽查变成季度例行动作，审计来临前的准备时间可以从数周缩到数小时。