广电播出系统日志留存审计实施指南

广电播出系统日志留存审计实施指南一、总则日志留存与审计是广电播出安全事件追溯、责任界定、风险预判的核心技术手段，是满足行业监管要求的强制性底线工作，任何播出机构不得降低标准、简化流程。1.1编制依据•《中华人民共和国网络安全法》（2017年施行）•《广播电视安全播出管理规定》（国家广播电影电视总局令第62号）•《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）•《广播电视网络安全等级保护定级指南》（GY/T338-2020）•《信息安全技术日志分析系统技术要求》（GB/T36626-2018）1.2适用范围本指南适用于各级广播电视播出机构、传输发射机构、IPTV集成播控平台、互联网电视集成平台、应急广播平台的日志留存与审计工作，覆盖从信源接入、内容处理、播出控制、信号传输到发射/分发的全链路节点，含配套的动环、时钟、运维管理系统。1.3组织与职责成立由分管技术工作的副台长任组长的日志管理工作组，明确三级职责，人员名单每半年更新一次并在播出部公告栏公示：1.组长（分管副台长）：负责审批日志管理年度预算、制度流程、重大异常处置方案，每季度听取日志审计工作汇报，协调解决跨部门资源问题。2.副组长（播出部主任、安全管理部主任）：负责制定年度审计计划、明确各节点采集要求、组织日常审计工作、督促问题整改，每月审核审计报告。3.执行岗：◦运维岗（每个播出班组设1名）：负责日志采集系统的日常运行维护、异常处置，执行班次审计要求◦安全审计岗（安全管理部设专职岗）：负责周度/季度审计、异常事件核实、审计报告出具、日志导出审批◦档案管理岗（综合档案室设专人）：负责离线归档日志的存储、借阅登记，确保归档介质不损坏、不丢失1.4核心管理原则1.全链路覆盖原则：所有涉及播出信号流、操作流的节点必须纳入日志采集范围，无采集能力的老旧设备必须在12个月内完成更换，更换前采取人工每30分钟记录一次操作与状态的补位措施，严禁存在日志盲区。2.不可篡改原则：日志从采集、传输、存储到归档全流程必须采取防篡改措施，任何人员无单独删除、修改日志的权限。3.闭环审计原则：审计发现的所有问题必须建立台账，明确整改责任、时限、验证人，实现“发现-处置-验证-优化”的全闭环。4.最小权限原则：日志系统的账号权限按岗位最小需求配置，禁止配置超范围权限，每季度开展一次权限清理，及时注销离岗人员账号。二、日志采集与存储技术规范日志覆盖不全、字段缺失、时间不同步是当前播出系统审计失效的首要原因，必须明确每类节点的采集边界、字段标准、存储要求，不留追溯盲区。2.1强制采集范围所有播出相关节点必须按要求纳入日志采集范围，具体要求如下：1.核心播控设备：含主/备视频服务器、播出切换台、键控器、台标机、字幕机、播出工作站、节目单数据库服务器、内容审核系统，必须采集的日志包括：设备开关机、节目单加载/修改、手动/自动信号切换、应急插播、素材上载/删除、用户登录/登出、核心参数修改、设备告警/恢复。2.传输发射设备：含编码器、复用器、调制器、地面数字电视发射机、调频/中波发射机、卫星上行站设备、光传输设备、微波传输设备、卫星信号接收机，必须采集的日志包括：信号锁定状态（失锁/恢复）、发射功率偏差、码率异常、参数配置变更、板卡插拔/故障、告警触发/恢复。3.网络与安全设备：含核心业务交换机、路由器、防火墙、网闸、入侵检测/防御系统、堡垒机、抗DDoS设备、日志审计系统自身，必须采集的日志包括：访问控制策略变更、跨网数据传输、异常流量检测、端口扫描行为、非法设备接入、用户登录/登出、管理员操作。4.配套支撑系统：含北斗/GPS时钟系统、UPS供配电系统、精密空调、机房动环监控系统、机房门禁系统，必须采集的日志包括：时钟源偏移/切换、市电中断/恢复、UPS电池放电、温湿度越限、机房人员进出记录、设备故障告警。5.运维操作日志：所有访问播出系统的运维操作，包括命令输入、文件上传下载、配置修改、设备重启，必须100%通过堡垒机采集。风险提示：运维人员绕过堡垒机直接通过本地串口/网口登录核心设备→操作行为无日志记录→发生误切信号、恶意篡改节目单等事件后无法定位操作主体→无法及时阻断风险、界定责任→导致播出事故后无法追溯原因，面临监管追责。必须关闭所有核心设备的本地直连管理端口，仅开放堡垒机跳转访问通道，因设备检修需要临时开放本地端口的，必须经安全审计岗审批，检修结束后立即关闭，临时开放时间不得超过4小时。2.2日志字段强制标准播出系统事件定位精度要求达到毫秒级，日志字段缺失会直接导致追溯失效，每条日志必须包含以下7类强制字段，缺任意一类视为不合格日志，需立即调整采集规则：1.时间戳：优先采用北斗时钟作为同步源，不具备北斗接收条件的可采用GPS时钟作为备份，严禁采用设备本地自由时钟作为时间源；所有日志时间采用UTC+8时区，精度到毫秒，不同设备间时间偏差不得超过100ms。◦机理说明：播出系统的信号切换动作响应时间通常在50~200ms区间，若设备间日志时间偏差超过100ms，会导致事件顺序错乱，无法准确判定是设备故障导致信号中断，还是切换动作触发的正常状态变化，直接影响原因定位准确性。2.主体标识：包含操作人账号、设备IP地址、MAC地址、发起操作的进程名，严禁使用“admin”“system”等无明确归属的公共账号；公共维护账号必须绑定实际使用人，落实“谁使用、谁负责”，账号绑定清单每季度更新一次。3.客体标识：包含被操作的设备名称、节目编号、素材ID、配置项名称，确保能通过日志准确定位被操作的对象。4.动作类型：明确记录动作分类，包括登录、查询、新增、修改、删除、信号切换、设备重启、告警触发、告警恢复9类，不得使用模糊的动作描述。5.动作结果：明确记录动作成功、失败状态，失败的必须标注具体原因（如密码错误、权限不足、信号失锁、磁盘空间不足）。6.源地址：记录操作发起的IP地址、端口号、设备物理端口编号，便于追溯操作来源。7.事件等级：按影响程度分为4级：◦紧急：直接导致播出信号中断、劣化的事件，非法核心操作、日志篡改行为◦重要：可能影响播出安全的设备异常、核心配置变更、非授权访问尝试◦一般：普通查询操作、非核心参数调整、一般性提示告警◦提示：设备正常运行状态记录、定期巡检操作2.3日志存储与备份要求1.留存周期要求：◦核心播出日志在线存储（可直接查询）不少于90天，满足日常审计与一般异态追溯需求◦所有日志离线归档存储不少于2年，满足事件回溯与监管检查要求◦涉及安全播出责任事故、违法违规操作的日志永久留存◦若地方广电行政部门、网安部门要求的留存周期长于上述标准，从其要求2.存储性能要求：◦日志写入延迟不得超过100ms，确保重大保障、高频操作时段日志不丢失、不排队◦日志存储分区使用率达到70%时自动触发扩容告警，运维岗必须在3个工作日内完成扩容，严禁因存储空间不足自动覆盖最早的日志3.存储可靠性要求：◦在线存储采用RAID5或RAID10冗余配置，单块硬盘故障不导致日志丢失◦日志备份采用“本地异机备份+异地容灾备份”双模式，异地备份节点与播出前端物理距离不少于50公里，备份传输采用国密算法加密通道◦备份数据完整性校验每周开展1次，采用SHA-256哈希值比对方式，校验失败的必须在24小时内重新备份，校验记录存档4.防篡改要求：◦日志写入时实时计算SHA-256哈希值，任何对日志的删除、修改操作都会触发哈希校验失败告警，告警信息直接推送至安全审计岗与部门负责人◦落实三权分立权限要求：系统管理员仅负责采集规则配置、系统维护，无日志查询、删除权限；安全审计员仅负责日志查询、审计、导出，无系统配置、日志删除权限；备份管理员仅负责日志备份、归档，在审批通过后可清理超期在线日志，无系统配置、日志内容查询权限；三类角色权限互斥，严禁由同一人担任两个及以上角色。◦异常回退：若日志审计系统发生故障，优先切换到备用审计节点接收日志；若备用节点也无法启用，必须安排专人每小时手动导出各设备本地日志，存储到专用加密硬盘，期间严禁开展任何非应急的配置变更操作，直至系统恢复。三、常态化日志审计工作流程日志留存的核心价值在于通过常态化审计提前发现风险、定位故障隐患，而非仅作为事故发生后的追溯证据，必须建立可闭环、可验证的审计机制，杜绝“存而不审”的形式主义。3.1审计频次与责任划分审计工作按日、周、月、季四个频次开展，明确各环节责任主体与产出要求：1.班次审计（值班运维岗执行）：每8小时班次结束前30分钟，对本班次内所有紧急、重要等级日志进行100%核查，重点核查手动信号切换、信号异常告警、核心配置变更类日志，核对操作记录与审批单是否一致，填写《值班日志审计记录表》（见附件2），对发现的异常立即处置。2.周度审计（安全审计岗执行）：每周一完成上周所有重要级别以上日志的复核，统计告警频次、异常类型，对24小时内重复出现3次及以上的非紧急告警（如某路信号频繁瞬断、设备温度偏高）组织运维岗排查隐患，每周五出具《周度日志审计报告》，报播出部主任。3.月度抽查（播出部、安管部主任执行）：每月5日前完成上月日志审计工作的抽查，抽查比例不低于总日志量的5%，重点核查操作权限合规性、异常事件处置闭环情况、日志备份完整性，组织月度安全分析会，通报审计发现的问题。4.季度全面审计（日志管理工作组执行）：每季度最后1周开展一次覆盖所有节点、所有操作类型的全面审计，重点排查日志采集覆盖率、字段完整性、时间同步偏差、权限合规性，形成季度审计报告，报分管副台长。约束要求：严禁由同一人承担日志采集配置、审计核查、问题整改全流程工作，必须实现岗位分离，形成相互监督机制。3.2异常审计判定规则审计过程中发现以下情形一律判定为异常，必须立即启动核查：1.日志采集异常：单台设备超过5分钟无日志输出、日志字段缺失率超过1%、设备时钟与标准源偏差超过100ms、日志哈希校验失败。2.操作行为异常：◦非检修窗口（每日检修窗口为00:00-05:00）开展的核心配置变更、设备重启操作◦非授权账号尝试登录核心播控设备、单账号连续5次及以上登录失败◦堡垒机外的设备访问记录、无审批单编号的配置变更操作◦非授权的素材删除、节目单修改、应急插播操作3.设备运行异常：◦同一设备24小时内出现3次及以上信号瞬断告警◦发射机输出功率与额定值偏差超过5%、编码器输出码率与标称值偏差超过10%◦时钟源24小时内切换超过2次、UPS24小时内出现2次及以上电池放电4.流程合规异常：手动切备操作无对应故障记录、日志导出无审批记录、账号权限超出岗位最小需求。3.3问题闭环处置流程审计发现的所有异常必须纳入台账管理，按等级落实处置要求，实现全闭环：1.问题登记：发现异常后10分钟内登记到《日志审计问题台账》（见附件3），明确问题描述、发现时间、等级、责任人员。2.分级处置：◦一般问题（字段不全、普通账号权限过大、非核心告警重复出现）：责任人员3个工作日内完成整改◦重要问题（日志采集中断、非授权访问尝试、备份校验失败）：运维岗2小时内启动处置，24小时内完成整改◦紧急问题（日志被篡改、核心设备非法登录、日志系统宕机）：立即启动安全播出应急预案，15分钟内上报部门负责人与分管副台长，优先恢复日志采集能力，阻断非法访问3.整改验证：整改完成后由安全审计岗在1个工作日内验证整改效果，验证通过的在台账中标注闭环；验证不通过的退回重新整改，整改超时的扣除责任人当月绩效的10%。4.规则优化：每季度对审计发现的高频误报、漏报问题，调整日志采集规则、告警阈值，优化审计判定标准，降低误报率、消除漏报点。四、重要保障期日志审计提级要求重要保障期是播出安全风险最高、管控要求最严的时段，必须在常规审计基础上升级管控措施，确保零日志盲区、零审计漏项，为安全播出提供追溯保障。1.保障期范围：全国两会、重大节庆活动、重要时政直播、上级广电行政部门明确的一级、二级保障时段，起止时间以正式通知为准。2.前置检查要求：保障期开始前24小时，由安全审计岗牵头完成全节点日志系统检查，检查内容包括：◦所有节点采集状态正常，采集成功率100%◦在线存储可用容量不低于总容量的50%，满足保障期全量日志存储需求◦所有设备时钟与标准源偏差小于50ms◦异地备份链路连通正常，备份功能正常◦所有非必要账号临时禁用，核心设备本地端口全部关闭检查发现的问题必须在保障期开始前全部清零，检查记录由检查人签字后存档。3.值守审计要求：◦保障期间，值班运维人员每2小时对实时告警日志进行一次巡查，及时处置异常◦安全审计岗24小时在岗值守，对核心操作、紧急告警进行实时审计◦所有应急操作必须执行“双人操作、双人复核”，操作完成后10分钟内核对日志记录，确保操作与记录完全一致◦保障期间严禁开展任何非应急的配置变更、设备调试操作，严禁任何非授权人员进入播出机房4.归档存证要求：保障期间所有日志实时同步至异地备份节点，保障结束后72小时内完成当期日志的离线归档，采用不可擦写蓝光光盘刻录（一式三份，分别由播出部、安全管理部、综合档案室保管），归档日志的SHA-256哈希值清单打印后由经办人签字存档。五、责任界定与违规处置明确责任边界、量化处置标准是避免日志管理流于形式的核心保障，必须对每类违规情形明确对应的责任主体与后果，杜绝责任悬空。

所有岗位人员必须严格落实日志管理要求，出现以下违规情形的按规定追责：1.值班运维岗有下列情形之一的，第一次给予通报批评，扣除当月绩效的10%；累计2次及以上的调离播出运维岗位：◦未按频次要求开展班次日志审计◦日志异常未及时发现并处置，导致隐患扩大◦本班次操作记录与日志内容不一致◦违规绕过堡垒机操作设备、临时开放本地端口后未及时关闭2.安全审计岗有下列情形之一的，给予通报批评，扣除当月绩效的20%；导致事件追溯失效的给予记过处分：◦未按要求开展周度、季度审计◦日志存储扩容不及时导致日志被自动覆盖◦备份校验不到位导致备份数据失效◦账号权限配置不符合三权分立要求3.部门负责人有下列情形之一的，给予通报批评，扣除当月绩效的30%；导致发生安全播出事故的，按《广播电视安全播出管理规定》相关条款追责：◦未按要求组织月度抽查、季度审计◦保障期前检查工作不到位，导致保障期日志系统故障◦违规审批日志删除、修改操作◦发生重大日志安全问题未按规定上报4.严禁行为及后果：◦严禁擅自删除、修改、伪造日志：该行为会直接导致事故追溯失效、隐瞒人为责任，一经发现直接解除劳动合同，涉嫌违法的移送司法机关处理。◦严禁在日志审计中弄虚作假、隐瞒发现的安全隐患：一经发现给予记过以上处分，造成严重播出后果的追究法律责任。◦严禁私自向外部单位、个人提供播出系统日志：一经发现给予记过处分，造成信息泄露的承担相应法律责任。合规操作说明：若需清理超期在线日志，必须由备份管理员提出申请，经部门负责人、分管副台长审批后，先对拟清理日志做离线归档并完成哈希完整性校验，再按存储周期要求清理超期日志，严禁直接删除未归档的日志。六、事件追溯与迎检配合规范日志是监管部门合规检查、安全播出事件调查的核心法定证据，必须建立标准化的调取、出示、留存流程，确保证据效力。1.日常迎检准备：每月10日前由安全审计岗整理上月日志审计报告、问题整改台账、备份校验记录、培训演练记录，装订成册存档，存档期限不少于3年，随时准备接受广电行政部门、公安网安部门的合规检查。2.外部调取流程：◦外部执法单位调取日志时，必须出具单位介绍信、执法人员有效证件，明确调取日志的时间范围、内容、用途◦经分管副台长审批同意后，由安全审计岗负责导出指定范围的日志，导出过程全程留痕，记录调取人信息（姓名、单位、证件号）、调取时间、日志范围◦导出的日志刻录为只读光盘，加盖单位公章后交付，严禁私自拷贝、提供超出审批范围的日志内容3.事件追溯流程：◦发生播出异态或事故后，必须在30分钟内启动日志追溯工作，按照“信源接入→播控处理→传输分发→发射覆盖”的全链路顺序，提取事发前后30分钟内所有节点的日志◦所有提取的日志按毫秒级时间戳排序，对照信号异态的时间节点逐点排查，定位事件发生的节点、原因、责任主体◦事件处置结束后24小时内形成事件追溯报告，附相关日志片段、哈希校验值，上报上级主管部门◦追溯过程中严禁修改、删减任何日志条目，所有参与追溯的人员对日志内容严格保密，严禁私自泄露事件相关信息七、培训与能力验证日志审计能力是播出运维人员的必备核心技能，必须通过常态化培训与演练确保所有岗位人员熟练掌握操作要求，避免因技能不足导致审计失效。1.培训要求：◦新入职运维、安全岗位人员必须完成不少于8学时的日志管理专项培训，培训内容包括相关法规要求、采集规则、审计要点、异常处置流程，考试合格（80分以上）后方可独立上岗◦在岗人员每季度开展一次专项培训，结合上季度审计发现的问题、典型播出事故追溯案例开展教学，培训后组织闭卷测试，不合格的补考合格后方可继续在岗2.演练要求：◦每半年组织一次日志追溯实战演练，模拟场景包括“播出信号中断全链路追溯”“非法登录操作排查”“日志采集中断应急处置”◦演练考核标准：全链路事件定位时间不超过15分钟，异常操作排查准确率达到100%，日志采集中断后应急措施启动时间不超过10分钟◦演练结束后形成评估报告，针