安全日志管理要求
3.1 总体原则
1）在考虑业务系统稳定运行的前提下，应确保日志记录完整，满足安全管理要求。
2）日志记录中禁止包含业务的敏感信息，避免因日志分析导致业务敏感数据泄密。
3）从数据保护的角度出发，根据IT系统承载的业务数据设置合理的日志记录要求。
4）日志格式应满足通用的格式要求，以便和第三方日志管理平台进行对接。
5）不满足本规范的情况应向进行合理评估IT风险管理组备案，并采取风险规避措施。
3.2 日志产生
3.2.1 IT基础设备和系统
1）IT基础设备和系统应根据本规范要求开启日志记录功能，开启方法见安全配置标准
或者产品手册。
2）应对包括但不限于以下活动进行日志记录：
登录认证日志：成功/失败的认证/登录、用户注销、超时退出等活动；
用户/权限管理：用户/权限的增删改以及密码的修改和重置等活动；
恶意软件/外部威胁：可疑/恶意软件的活动记录等或者来自外部的感染威胁等； 网络活动：网络设备的流量活动（例如防火墙的流量允许和拒绝等行为）；
系统操作：对IT基础设备和系统中的安全策略/系统配置或者存储的数据进行操作
(查询/修改/删除等)的活动等。
3.2.2 应用系统
3.2.2.1 研发中心负责开发的应用系统
1）应用系统应对以下活动进行日志记录：
登录认证日志：成功/失败的认证/登录、用户注销、超时退出等活动；
用户/权限管理：用户/权限的增删改以及密码的修改和重置等活动；
业务敏感数据访问：对IT基础设备和系统中的系统配置或者存储的数据进行操作
(查询/修改/删除等)的活动等。
2）在应用系统开发过程中，研发中心应将安全日志的管理要求纳入到项目的需求中，
并在项目开发周期内实现安全日志的管理要求；
3）质量管控中心应对安全日志的功能进行验证并出具验证报告。
4）在引入新的应用系统时，IT服务中心应检查安全日志记录功能是否满足管理要求并
出具验证报告。如不满足要求，原则上不允许进入生产环境。
5）已上线的应用系统安全日志功能如不满足安全管理要求，应用系统负责人应和研发
经理确定整改完成时间。
3.2.2.2 软件外包的应用系统
1）在选型时研发中心应在到软件选型过程中考虑安全日志的记录需求，并在项目实施
的过程中落实安全日志的记录需求，管理要求参考3.2.2.1。
2）已引进的应用系统如不满足安全管理要求，应用系统负责人应和与供应商确定整改
完成时间。
3.3 日志使用
1）原则上日志应仅允许该系统的维护人员只读访问。
2）系统负责人应根据本规范要求对异常的日志进行分析处理，发现异常及时上报IT风险管控组。
3.4 日志保存
1）应用系统日志的保存期限要求如下：
安全级别为高的应用系统，日志保存时间至少为36个月；
安全级别为中或者低的应用系统，日志保存时间至少为12个月。
2）IT基础设备和系统的日志保存时间至少为12个月。
3）日志记录应设置合理的阀值并进行监控，确保达到阀值前进行有效的处理，确保日志的安全性和完整性。
4）在未确保日志安全备份前，任何人不得以任何理由删除日志。对于恶意破坏日志独立性和真实性的行为将按照《信息安全奖惩管理办法》进行处罚。
3.5 日志销毁
超出本规范要求的保存期限的日志，由系统管理员自行删除。