网络安全的审计：框架、控制、证据（审计项、框架、证据）

网络安全的审计：框架、控制、证据

（审计项、框架、证据）本文档提供：三个审计项的覆盖内容与框架映射表（表2）；等保2.0、ISO27001与NISTCSF的选用与映射表（表3）；身份鉴别与访问控制审计检查表（表4）；安全审计控制域审计检查表（表5）；入侵防范与恶意代码控制域审计检查表（表6）；四类证据的效力等级与采集方式表（表7）；日志留存期限的法规对照表（表8）；审计发现分级与判定依据表（表9）；审计结论认定与处置表（表10）；审计底稿要素与追溯链检查表（表11）。2026-11-10表1目录与定位表这一节的标题读完能拿到什么这一节在全文中的功能一、网络安全审计的三个审计项与框架选用逻辑表2三个审计项覆盖内容表、表3框架选用与映射表界定框架、控制、证据各自回答的问题，按组织适用法规选定审计依据的框架二、控制审计（一）：身份鉴别与访问控制表4身份鉴别与访问控制审计检查表核验身份鉴别强度、登录失败处理、最小权限和远程访问管控三、控制审计（二）：安全审计表5安全审计控制域审计检查表核验审计覆盖范围、记录字段、记录保护和集中分析能力四、控制审计（三）：入侵防范与恶意代码表6入侵防范与恶意代码控制域审计检查表核验边界防护、入侵检测和恶意代码防范的配置与更新状态五、证据审计：四类证据的效力等级与采集方式表7四类证据效力等级与采集方式表按文档、配置、日志、访谈四类区分证据效力，确定各类证据的采集动作六、日志留存期限的法规对照与核查方法表8日志留存期限法规对照表按数据分级确定日志留存下限，核验实际留存策略与法规要求的匹配七、审计发现分级与判定依据表9审计发现分级与判定依据表按影响范围、系统定级和后果三项事实划分发现等级八、审计结论认定与处置表10审计结论认定与处置表把发现汇总为管控有效、基本有效、管控缺陷三档结论并匹配处置动作九、审计底稿与追溯链表11审计底稿要素与追溯链检查表核验底稿要素和三份材料的索引关系，支撑监管调阅与复核十、案例：一次三级系统的安全审计从框架映射到证据采集完整案例复现框架选用、控制测试、证据采集和结论形成的操作链一、网络安全审计的三个审计项与框架选用逻辑网络安全审计的三个审计项指向审计工作的三个层次。框架审计回答的是“本次审计依据什么标准判断控制是否合格”，检查组织所适用的法规框架和安全标准是否被正确识别并映射到审计范围。控制审计回答的是“技术和管理控制是否按标准配置并持续运行”，检查控制点的落地状态和运行痕迹。证据审计回答的是“控制合格的判断有没有可复核的依据”，检查证据的类型、效力和留存是否支撑结论。框架的选用依据组织适用的法规和业务性质确定，不由审计团队偏好决定。在中国境内运营的网络，等级保护制度是基础性框架，定级为三级及以上的系统适用等保2.0（GB/T22239—2019）中安全计算环境、安全区域边界、安全管理中心等层面的控制要求。涉及关键信息基础设施的，同时适用《关键信息基础设施安全保护要求》（GB/T39204—2022）。组织已建立信息安全管理体系并通过ISO27001认证的，ISO27001附录A的控制目标可作为管理层面审计的补充依据。采用NISTCSF作为安全运营成熟度参照的，其功能类别（识别、保护、检测、响应、恢复）可用于组织审计发现的结构化归类。框架之间在控制点上存在重叠，审计时以适用法规的强制性要求为基线，ISO27001和NISTCSF作为补充框架用于覆盖基线未涉及的管理过程。框架选用和映射的结果写入审计方案，方案经审计委员会或网络安全负责人批准。成品块：输入为组织适用法规清单、系统定级记录和已有认证证书；动作为按表2确认三个审计项的覆盖内容，按表3选定审计依据框架并完成控制点映射；输出为审计框架选用与映射表；判定为每个审计项有覆盖内容、取数文件和依据框架，框架映射表中的控制点有对应的法规条款或标准条款编号。表2三个审计项覆盖内容表审计项核心问题覆盖内容取数文件检查深度框架依据什么标准判断控制合格适用法规识别、框架映射、控制点选取法规清单、系统定级备案、审计方案全面审计逐项映射，重点审计映射核心控制域控制控制是否配置并持续运行身份鉴别、访问控制、安全审计、入侵防范系统配置导出、策略文件、运行记录三级及以上系统核心控制点全量核验证据合格判断是否有可复核依据证据类型、效力等级、留存期限日志导出、配置截图、访谈记录、审批文档证据效力分级加抽样复核表2第2行示例行中，审计项“控制”、核心问题“控制是否配置并持续运行”、覆盖内容“身份鉴别、访问控制、安全审计、入侵防范”、取数文件“系统配置导出、策略文件、运行记录”、检查深度“三级及以上系统核心控制点全量核验”五项具体。框架审计的产出决定控制审计和证据审计的检查范围：框架映射表中列明的控制点进入控制审计，每个控制点的合格标准决定证据审计需要采集的证据类型。表3框架选用与映射表适用情形依据框架框架中的对应模块审计中的使用方式条款编号示例境内三级及以上网络等保2.0（GB/T22239—2019）安全计算环境、安全区域边界、安全管理中心控制审计的基线标准，逐控制点核验8.1.4.3安全审计关键信息基础设施GB/T39204—2022远程维护、日志留存、监测预警在等保基线上叠加的增强要求远程维护日志留存不少于12个月已建立ISMS并通过认证ISO/IEC27001:2022附录A控制目标（A.5—A.8）管理层面审计的补充，覆盖适用性声明中的控制A.8.15日志记录安全运营成熟度参照NISTCSF2.0识别（ID）、保护（PR）、检测（DE）、响应（RS）、恢复（RC）发现的结构化归类，辅助判断控制域之间的衔接PR.PS-04日志记录生成表3第1行示例行中，适用情形“境内三级及以上网络”、依据框架“等保2.0（GB/T22239—2019）”、框架中的对应模块“安全计算环境、安全区域边界、安全管理中心”、审计中的使用方式“控制审计的基线标准，逐控制点核验”、条款编号示例“8.1.4.3安全审计”五项具体。同一控制点在不同框架中的表述存在差异，映射时以法规条款为基线，ISO27001和NISTCSF的对应条款作为补充说明，映射关系写入审计底稿，便于复核时追溯判断依据。二、控制审计（一）：身份鉴别与访问控制身份鉴别审计检查三个位置。鉴别强度检查用户登录是否采用两种或以上组合的鉴别技术，口令的复杂度、更换周期和存储方式是否符合标准，生物特征、数字证书等强鉴别方式在管理员账户中的覆盖情况。登录失败处理检查连续失败登录的次数限制、锁定策略和超时自动退出配置，策略在系统配置中的实际取值与制度要求的一致性。远程访问管控检查远程运维和远程办公的接入方式、身份鉴别强度、操作审计和访问时段限制，VPN、堡垒机等接入通道的日志是否完整记录。访问控制审计检查两个位置。最小权限检查账户权限与岗位职责的对应关系，是否存在权限宽于职责的账户，管理员账户是否按角色分离，默认账户和共享账户的使用状态。访问控制规则的时效检查离职或转岗人员的账户是否及时停用或回收权限，权限审批记录是否与账户变更记录对应。审计方法为配置导出加抽样核对：从身份管理系统或目录服务中导出账户清单和权限配置，按岗位分层抽取样本，核对权限范围与岗位说明书的对应关系；从认证日志中抽取登录失败记录，核对锁定策略的实际触发情况。成品块：输入为系统配置导出、账户清单、权限审批单和认证日志；动作为按表4逐项核对鉴别强度、失败处理、最小权限和远程访问管控；输出为身份鉴别与访问控制审计记录；判定为每个控制点有配置数值或抽样结论，合格标准写到具体配置参数。表4身份鉴别与访问控制审计检查表控制点检查内容合格形态常见待完善情形补正或升级动作鉴别强度鉴别技术组合、口令复杂度、存储方式管理员账户采用双因素鉴别；口令长度和复杂度符合标准；存储为加盐哈希管理员账户仅口令鉴别启用双因素鉴别，补充鉴别策略配置登录失败处理失败次数限制、锁定策略、超时退出连续失败5次锁定，超时15分钟自动退出，配置值可导出策略已配置但实际未生效核对策略生效范围，补充生效验证记录远程访问管控接入通道、鉴别强度、操作审计远程访问经堡垒机或VPN，双因素鉴别，操作全量记录远程通道未纳入审计将远程通道接入审计，补充日志采集最小权限账户权限与岗位职责对应抽样账户权限与岗位说明书一致；管理员角色分离部分账户权限宽于职责收窄权限，补充审批记录默认与共享账户默认账户状态、共享账户使用默认账户已改名或禁用；共享账户有使用登记和责任人共享账户无登记建立共享账户登记，限定使用场景权限时效离职转岗账户处理、权限回收账户停用或权限回收在人员变动后及时完成回收记录待补充补录回收记录，核对变动清单表4第2行示例行中，控制点“登录失败处理”、检查内容“失败次数限制、锁定策略、超时退出”、合格形态“连续失败5次锁定，超时15分钟自动退出，配置值可导出”、常见待完善情形“策略已配置但实际未生效”、补正或升级动作“核对策略生效范围，补充生效验证记录”五项具体。策略“已配置”与“实际生效”的区分是身份鉴别审计的关键点：配置值存在于策略文件中但未下发到目标系统或未覆盖全部账户的，按待完善情形处理，补正动作包括核对生效范围和补充生效验证记录。三、控制审计（二）：安全审计安全审计控制域的审计围绕“记全、护住、集中分析”三个目标展开。审计覆盖范围检查日志源的类型和覆盖对象：网络设备、安全设备、服务器、数据库、应用系统的日志是否均被采集，审计范围是否覆盖到每个用户，重要用户行为和重要安全事件是否进入审计记录。审计记录字段检查每条日志记录是否包含日期时间、用户标识、事件类型、事件结果等基本字段，原始字段在归一化过程中是否保留，字段缺失的日志能否支撑事后追溯。审计记录保护检查日志的存储方式、访问权限和防篡改措施：日志是否独立存储、是否采用只追加或WORM方式防止修改、备份和哈希校验是否执行、审计进程是否有守护机制防止未经授权中断。集中分析检查分散的审计数据是否汇总到集中平台、告警规则是否按事件类型配置、告警是否有分级和闭环处置记录。等保2.0三级对安全审计的要求分布在安全区域边界（8.1.3.5）和安全计算环境（8.1.4.3）两个层面，安全管理中心（8.1.5.4）对集中管控提出要求。审计时按控制点逐项核对，配置层面以系统导出的策略和日志平台配置为证据，运行层面以日志抽样和告警处置记录为证据。成品块：输入为日志源清单、日志平台配置、原始日志样本和告警处置记录；动作为按表5逐项核对覆盖范围、记录字段、记录保护和集中分析；输出为安全审计控制域审计记录；判定为每个控制点有配置证据或日志样本，覆盖范围写到具体日志源类型。表5安全审计控制域审计检查表控制点检查内容合格形态常见待完善情形补正或升级动作审计覆盖范围日志源类型、用户覆盖、事件类型网络、安全、主机、数据库、应用日志均接入；覆盖每个用户应用日志或数据库日志未接入补充日志源接入，调整采集策略记录字段完整性日期时间、用户、事件类型、结果基本字段齐备，原始字段在归一化中保留部分日志缺用户标识或结果字段调整日志格式，补充缺失字段记录保护独立存储、防篡改、备份、进程守护日志独立存储，只追加或WORM，备份和哈希校验有记录日志与业务数据同库存储迁移至独立日志存储，启用防篡改集中分析集中平台、告警规则、处置闭环分散日志汇总至集中平台，告警分级并有工单闭环告警规则未覆盖关键事件补充告警规则，建立工单关联分析记录审计管理员的定期分析记录按周期分析并保留分析处置记录分析记录待补充建立分析周期和记录模板管理操作审计三员操作日志、删除权限隔离系统管理员、审计管理员、安全管理员操作均被记录；审计管理员不能删除自身操作日志三员操作日志未单独采集单独采集管理操作日志，隔离删除权限表5第1行示例行中，控制点“审计覆盖范围”、检查内容“日志源类型、用户覆盖、事件类型”、合格形态“网络、安全、主机、数据库、应用日志均接入；覆盖每个用户”、常见待完善情形“应用日志或数据库日志未接入”、补正或升级动作“补充日志源接入，调整采集策略”五项具体。审计覆盖范围的核验以日志源清单与实际接入平台的日志类型对照为基础，清单中列明但未实际产生日志的源，追查采集配置和网络连通性。四、控制审计（三）：入侵防范与恶意代码入侵防范审计检查边界和重要节点的防护配置。在网络边界和重要网络节点处，检查入侵检测或入侵防御系统的部署位置、规则库版本和策略覆盖范围，规则库更新到最新版本的日期可查，策略能够覆盖网络的所有关键节点。对从外部或内部发起的网络攻击行为，检查检测和限制措施的实际运行状态，检测到攻击行为时攻击源IP、攻击类型、攻击目标和攻击时间的记录完整性。对新型网络攻击行为的分析能力，检查是否部署了基于行为分析的检测手段，检测规则是否随威胁情报更新。恶意代码防范审计检查主机和终端的防护配置。防恶意代码软件的安装覆盖率、恶意代码库的更新日期、定期扫描的执行记录和清除结果。对重大安全预警的响应，检查预警接收后的库更新和扫描策略调整记录。可信验证在等保2.0中作为可选增强项，已部署可信根的系统检查可信验证的覆盖范围和验证结果是否形成审计记录并送至安全管理中心。成品块：输入为边界防护设备配置、规则库版本记录、主机防护软件清单和扫描记录；动作为按表6逐项核对入侵防范和恶意代码防范的配置与更新状态；输出为入侵防范与恶意代码审计记录；判定为每个控制点有配置导出或运行记录，规则库版本和更新日期写到具体数值。表6入侵防范与恶意代码控制域审计检查表控制点检查内容合格形态常见待完善情形补正或升级动作边界入侵检测部署位置、规则库版本、策略覆盖关键节点部署IDS/IPS，规则库为最新版本，策略覆盖全部关键节点规则库更新滞后更新规则库，核对策略覆盖范围攻击行为记录源IP、类型、目标、时间检测到攻击时四项字段完整记录记录字段缺失调整日志格式，补充缺失字段新型攻击分析行为分析能力、威胁情报联动部署行为分析或威胁情报联动的检测手段分析能力限于特征匹配补充行为分析模块或威胁情报接入恶意代码防护覆盖安装覆盖率、库版本主机和终端防护软件全覆盖，库为最新版本部分终端未安装或库过期补装或更新，记录覆盖清单定期扫描与清除扫描周期、清除记录按周期扫描，清除结果有记录扫描记录待补充补做扫描并归档记录重大预警响应预警接收后的库更新和策略调整预警响应记录含更新时间和策略调整内容响应记录待完善建立预警响应台账，记录处置动作表6第2行示例行中，控制点“攻击行为记录”、检查内容“源IP、类型、目标、时间”、合格形态“检测到攻击时四项字段完整记录”、常见待完善情形“记录字段缺失”、补正或升级动作“调整日志格式，补充缺失字段”五项具体。规则库版本的核验以设备管理界面或集中管理平台的版本显示为证据，更新日期与当前日期的间隔作为更新及时性的判断依据，间隔超出组织设定的更新周期阈值的列为待完善项。五、证据审计：四类证据的效力等级与采集方式网络安全审计的证据分为四类：文档证据、配置证据、日志证据和访谈证据。四类证据的效力等级不同，支撑结论的强度不同。文档证据包括安全制度、策略文件、审批记录和流程说明，效力等级为中等，用于确认控制的设计存在和授权状态。配置证据包括系统配置导出、策略截图和设备参数，效力等级为高，用于确认控制是否按标准部署。日志证据包括认证日志、操作日志、告警记录和审计日志导出，效力等级为最高，用于确认控制在一段期间内是否持续运行。访谈证据包括与系统管理员、安全管理员和业务人员的访谈记录，效力等级为低，用于补充理解控制执行的实际情境和定位异常线索，访谈结果与配置或日志证据交叉核对后进入结论。证据采集动作按证据类型匹配。文档证据从文档管理系统中按文件编号调取，核对版本号和审批日期。配置证据从目标系统中导出配置文件或通过管理界面截图，导出记录含导出时间、导出人和系统标识。日志证据从日志平台按时间范围和事件类型检索导出，导出文件含记录总数、字段清单和导出时间戳。访谈证据按结构化提纲执行，访谈记录含访谈对象、岗位、日期和关键陈述摘要。四类证据中，配置证据和日志证据的组合可以支撑“控制有效”的结论；仅有文档证据或访谈证据时，结论强度相应减弱，须在审计报告中标注证据局限。成品块：输入为审计方案中列明的控制点清单和证据采集计划；动作为按表7为每个控制点选择证据类型组合，执行采集并记录证据标识；输出为证据采集记录与效力评估表；判定为每个控制点有至少一类高或最高效力证据支撑，证据标识可追溯。表7四类证据效力等级与采集方式表证据类型效力等级能支撑的结论采集方式证据标识文档证据中等控制设计存在、授权状态文档系统按编号调取文件编号、版本号、审批日期配置证据高控制按标准部署、策略参数取值系统配置导出或管理界面截图导出时间、导出人、系统标识日志证据最高控制在一段期间内持续运行日志平台按时间范围和事件类型检索导出记录总数、字段清单、导出时间戳访谈证据低补充情境理解、定位线索结构化提纲访谈访谈对象、岗位、日期、陈述摘要表7第3行示例行中，证据类型“日志证据”、效力等级“最高”、能支撑的结论“控制在一段期间内持续运行”、采集方式“日志平台按时间范围和事件类型检索导出”、证据标识“记录总数、字段清单、导出时间戳”五项具体。日志证据的导出文件保存为原始格式，不经过二次编辑；确需摘录的，摘录内容附原始文件的引用位置。配置证据的导出记录写入底稿，导出人与复核人分离。六、日志留存期限的法规对照与核查方法日志留存期限的确定依据数据分级和适用法规，取各法规要求中的最长下限。《网络安全法》第二十三条规定网络日志留存不少于六个月，等保2.0三级及以上系统的安全审计要求与之一致。涉及核心数据的相关日志，留存时间不少于三年；涉及重要数据的相关日志，留存时间不少于一年，向他人提供、委托处理、共同处理重要数据的相关日志留存时间不少于三年。关键信息基础设施的远程维护日志，留存不少于十二个月。组织在制定日志留存策略时，按系统中数据的最高分级对应的期限设定留存周期，留存周期以自然月为单位，不按折算天数设定。核查方法为策略核对加时间戳验证。从日志平台导出留存策略配置，核对策略中的留存天数或月数与适用法规的对照结果。从日志平台检索最早和最新的日志记录，核对时间跨度是否覆盖策略声明的留存周期。抽样选取若干时间点，确认该时间点的日志仍可检索和打开。留存策略声明六个月但最早日志时间戳仅覆盖五个月的，按待完善情形处理，补正动作包括扩展存储容量或调整轮转策略。成品块：输入为数据分级记录、日志平台留存策略配置和日志时间戳样本；动作为按表8对照适用法规的留存下限，核验策略配置与时间戳跨度；输出为日志留存核查记录；判定为每个系统有数据分级、适用留存下限、实际留存周期和核验结论。表8日志留存期限法规对照表数据分级或系统类型适用法规或标准留存下限核验方式时间戳核验要点一般网络日志网络安全法第二十三条六个月策略配置核对加时间戳验证最早日志时间戳距当前不少于六个月三级及以上系统安全审计日志等保2.0（GB/T22239—2019）六个月同一般网络日志按自然月计算，不按折算天数涉及重要数据的日志数据安全法相关规定一年（向他人提供、委托处理、共同处理的为三年）策略配置核对加分类型验证按数据分级标识分别核验涉及核心数据的日志数据安全法相关规定三年策略配置核对加分类型验证按数据分级标识分别核验关键信息基础设施远程维护日志GB/T39204—2022十二个月远程维护通道日志单独核验远程维护操作日志的时间戳跨度表8第2行示例行中，数据分级或系统类型“三级及以上系统安全审计日志”、适用法规或标准“等保2.0（GB/T22239—2019）”、留存下限“六个月”、核验方式“同一般网络日志”、时间戳核验要点“按自然月计算，不按折算天数”五项具体。留存期限的核验以日志平台自身记录的时间戳为准，业务系统时间与日志平台时间存在偏差的，以日志平台时间为基准并在核查记录中注明偏差值。七、审计发现分级与判定依据审计发现按影响范围、系统定级和后果三项事实分级。一级发现指三级及以上系统或关键信息基础设施的核心控制点存在系统性缺失（如安全审计功能未启用、日志留存严重不足、远程访问未纳入审计），且已造成或可能造成数据泄露、服务中断或监管处罚；处置动作为限期整改，整改期间启动补偿性控制，涉及关键信息基础设施的同步评估报告义务。二级发现指一般系统的核心控制点存在缺失，或三级系统的非核心控制点存在偏差（如部分日志字段缺失、规则库更新滞后、权限宽于职责）；处置动作为限期整改，整改期间增加监控频率。三级发现指文档版本待更新、访谈记录待补充、部分终端防护库过期但已触发更新；处置动作为限期补正，不影响系统运行。分级判定依据写到可观察的事实：影响范围（三级及以上系统、一般系统或局部终端）、控制点属性（核心控制点或非核心控制点）、后果（已有数据暴露或监管影响、存在潜在影响、无实际影响）。成品块：输入为控制审计记录和证据效力评估；动作为按表9逐项判定影响范围、控制点属性和后果，确定发现等级；输出为审计发现清单与分级表；判定为每项发现有影响范围、控制点属性、后果三项依据和等级结论。表9审计发现分级与判定依据表发现等级影响范围控制点属性后果处置时限参照一级三级及以上系统或关键信息基础设施核心控制点系统性缺失已造成或可能造成数据泄露、服务中断或监管处罚限期整改，启动补偿控制，评估报告义务二级一般系统或三级系统非核心控制点核心控制点缺失或非核心控制点偏差存在潜在影响限期整改，增加监控频率三级局部终端或文档非核心控制点或文档记录无实际影响限期补正表9第2行示例行中，发现等级“二级”、影响范围“一般系统或三级系统非核心控制点”、控制点属性“核心控制点缺失或非核心控制点偏差”、后果“存在潜在影响”、处置时限参照“限期整改，增加监控频率”五项具体。核心控制点的界定在审计方案中预先明确，通常包括身份鉴别、访问控制、安全审计和入侵防范中的基础性要求。一级发现的整改方案含补偿性控制的启动时间和效果验证方式，方案经网络安全负责人和审计委员会审定后执行。八、审计结论认定与处置审计结论由框架、控制、证据三个审计项的发现汇总形成。管控有效：三个审计项均未发现一级和二级发现，或仅有三级发现且已完成补正；处置动作为常规跟踪，下一审计周期按计划复核。基本有效：存在二级发现无一级发现，或一级发现已启动整改且补偿性控制已生效；处置动作为限期整改，整改完成前对受影响系统增加监控。管控缺陷：存在一级发现且整改方案尚未审定，或一级发现的影响仍在持续；处置动作为向审计委员会报告，启动专项治理，受影响系统的运行或变更提交上级审议。结论认定的依据写到发现清单的等级分布和整改状态。管控缺陷结论涉及关键信息基础设施或大量个人信息处理的，合规职能同步评估《网络安全法》《数据安全法》下的报告义务。成品块：输入为表9的发现清单与分级；动作为汇总等级分布和整改状态，按表10认定结论档位；输出为审计结论记录；判定为每个审计项有发现等级分布，结论档位与等级分布匹配，处置动作与结论档位对应。表10审计结论认定与处置表结论档位认定条件处置动作报告路径管控有效无一级和二级发现，或仅有三级发现且已补正常规跟踪，下一周期复核审计报告报送审计委员会基本有效存在二级发现无一级发现，或一级发现整改方案已审定且补偿控制已生效限期整改，受影响系统增加监控审计报告报送审计委员会，抄送网络安全负责人管控缺陷存在一级发现且整改方案未审定，或影响仍在持续专项治理，系统运行或变更提交上级审议向董事会报告，合规职能评估监管报告义务表10第2行示例行中，结论档位“基本有效”、认定条件“存在二级发现无一级发现，或一级发现整改方案已审定且补偿控制已生效”、处置动作“限期整改，受影响系统增加监控”、报告路径“审计报告报送审计委员会，抄送网络安全负责人”四项具体。结论档位的认定以发现清单的最终状态为准，整改过程中的临时状态在报告中记录但不改变结论档位。九、审计底稿与追溯链审计底稿要素包括：审计范围与框架映射引用、控制测试程序与执行记录、证据标识与效力等级、发现的事实描述与条款依据、结论及其依据、编制人与复核人签署、复核意见与日期。控制测试记录中，配置证据的导出时间、导出人和系统标识逐项列示，日志证据的记录总数、字段清单和导出时间戳写入底稿，访谈记录附结构化提纲和关键陈述摘要。追溯链按控制点编号建立，三份材料互相索引：审计方案提供框架映射和控制点清单；审计报告按控制点记录检查结论和发现清单；底稿按控制点保存配置导出、日志样本和访谈记录。监管检查调阅时，按控制点编号从方案到报告到底稿逐层追溯，三层材料中的条款编号、配置参数和日志时间戳保持一致。成品块：输入为控制测试过程中的程序记录、证据材料和发现清单；动作为按表11核对底稿要素和三层材料的索引关系；输出为底稿完整性结论和追溯链检查记录；判定为要素齐备、三层材料字段一致，待完善项有补正安排。表11审计底稿要素与追溯链检查表底稿要素合格形态常见待完善情形复核检查点范围与框架映射引用引用审计方案的控制点编号和框架条款只写“按等保要求”，缺条款编号核对方案与底稿的对应控制测试程序每控制点有测试步骤和结果配置导出缺导出时间或导出人检查程序记录与表4至表6的对应证据标识与效力每项证据有标识和效力等级日志证据缺导出时间戳核对证据标识的可追溯性发现与条款依据每项发现有条款编号发现描述缺条款引用核对条款编号与框架映射的对应结论与依据结论对应发现等级分布结论写“基本符合”，缺等级分布核对结论与发现清单的对应编制与复核编制人、复核人、日期复核记录待补充核对复核签字的独立性三层一致性条款编号、配置参数、时间戳逐项一致三层材料字段存在差异查明差异原因并统一记录表11第3行示例行中，底稿要素“证据标识与效力”、合格形态“每项证据有标识和效力等级”、常见待完善情形“日志证据缺导出时间戳”、复核检查点“核对证据标识的可追溯性”四项具体。日志证据的导出时间戳和记录总数写入底稿，导出文件按“控制点编号-证据类型-导出日期”命名归档，复核人按命名规则在归档目录中检索核对。十、案例：一次三级系统的安全审计从框架映射到证据采集示例案例，细节为合理设定。本案例的转折集中在框架映射中的条款版本差异、安全审计控制点的日志字段缺失和证据效力的补强三处，第四处转折因第三轮修正后关键分叉已穷尽而未发生。起点：某机构对定级为三级的核心业务系统执行网络安全审计。审计范围覆盖框架、控制、证据三个审计项。审计方案初步选定等保2.0（GB/T22239—2019）为基线框架，ISO27001附录A为管理层面补充框架。控制审计重点覆盖身份鉴别、访问控制、安全审计和入侵防范四个控制域。证据采集以配置导出和日志样本为主。第一次转折。信号：框架映射阶段，审计团队将安全审计控制点映射到等保2.0的8.1.4.3和8.1.5.4，但发现组织内部的制度文件引用的是等保1.0的条款编号体系。假设：条款编号差异属于文档更新滞后，控制要求本身没有变化，映射按新条款执行即可。试了什么：对照等保1.0和2.0的安全审计要求，核对制度文件中的控制要求表述与2.0条款的实质对应关系。新信息：制度文件中的安全审计要求覆盖了“审计覆盖到每个用户”和“记录保护”，但对“集中管控”和“审计管理员分析记录”的要求缺失，这两项是2.0在安全管理中心层面的增强项，组织在制度层面未纳入。推翻的假设：条款编号差异不影响控制要求的完整性。换哪条路：框架映射表增加“制度覆盖缺口”列，标注等保2.0有要求而组织制度未覆盖的控制点（集中管控、分析记录），这些控制点进入控制审计的重点检查范围，制度修订作为三级发现纳入整改台账。这一轮把框架映射从条款编号对照扩展为制度覆盖完整性的核对。第二次转折。信号：安全审计控制域的审计覆盖范围检查发现，网络设备和安全设备的日志已接入集中平台，服务器操作系统日志部分接入，应用系统日志仅记录了登录事件，缺少数据修改和权限变更的记录。假设：应用系统日志的登录记录已覆盖“重要用户行为”，数据修改和权限变更属于业务日志，不在安全审计范围内。试了什么：核对等保2.0对“重要用户行为和重要安全事件”的定义范围，对照应用系统日志的实际记录内容。新信息：数据修改和权限变更属于“重要用户行为”，应用系统日志的记录范围未达到标准要求；同时抽查的日志样本中，部分记录缺少“事件结果”字段，用户标识存在为空的情况。推翻的假设：登录记录足以覆盖重要用户行为。换哪条路：审计覆盖范围和应用日志字段完整性合并为二级发现，影响范围为三级系统的安全审计控制点；整改措施为扩展应用系统的审计记录范围，补充数据修改和权限变更事件，调整日志格式补齐事件结果和用户标识字段；整改期间的补偿控制为在数据库层启用细粒度审计作为过渡。这一轮把审计覆盖范围从登录事件扩展到完整的重要用户行为记录。第三次转折。信号：证据效力评估阶段，安全审计控制点的结论初次仅以制度文档和访谈记录支撑，配置证据仅有日志平台的一张截图，缺少导出时间和导出人标识，日志证据仅有零散样本，无导出文件的时间戳和记录总数。假设：制度文档和访谈记录可以支撑“控制已部署”的结论，证据效力不足的问题可以通过补充说明解决。试了什么：按表7的证据效力等级核对，配置证据缺少导出时间、导出人和系统标识，属于标识不完整的配置证据；日志证据缺少导出文件的时间戳和记录总数，无法确认样本的代表性。新信息：该控制点的结论缺少高或最高效力证据的支撑，按证据审计的判定标准，结论强度不足以形成“控制有效”的判断。推翻的假设：文档加访谈足以支撑控制有效结论。换哪条路：补充证据采集动作：从日志平台重新导出配置，记录导出时间、导出人和系统标识；按控制点编号和日期范围导出日志文件，记录记录总数、字段清单和导出时间戳；导出文件归档后重新评估证据效力，配置证据和日志证据的组合支撑控制有效的结论。这一轮把证据从“有材料”修正为“有效力等级支撑”。终点：审计报告汇总三个审计项的发现，二级发现两项（安全审计覆盖范围和字段完整性、证据标识不完整）、三级发现两项（制度覆盖缺口、日志留存策略的复核记录待补充），无一级发现。结论档位为“基本有效”，报告经审计委员会签批，抄送网络安全负责人。整改台账建立四行，日志留存策略的复核记录补正后，证据标识完整性问题在下一审计周期前完成整改并验证。十一、操作规则与矛盾处置规则一。框架映射以适用法规的强制性要求为基线，ISO27001和NISTCSF作为补充框架。映射表中的每个控制点有法规条款或标准条款编号，制度文件未覆盖的基线要求列入重点检查范围，制