資安之路 - Log 到底要記錄啥？

5月 06, 2025

Log ，我到底要記錄什麼？

前言

最近筆者開始要準備上工，無意間接觸到「Log 記錄」的議題，於是開始著手研究它。

自從開始擔任顧問後，我的視角從單純的開發者，逐漸拓展至企業層面與內部人員的需求。

現在的我開始嘗試從「合規」與「導入實務」的角度切入，並歸納出一套可供初步參考的思維架構，針對不同企業規模與需求，逐步拆解背後的問題邏輯。

捫心自問時間

在正式進入「優化你我的 Log」之前，先來個捫心自問的時刻：

你的系統，有明確的合規要求嗎？
還是你只是希望讓 Log 記錄更清晰、好用、有效？😉

這兩種出發點，會直接影響你後續的 Log 設計邏輯與優先順序：

合規導向的 Log，通常是為了滿足法規、稽核標準與保留期限的要求。這類設計需要強調操作可追溯性、角色辨識與完整性。
優化導向的 Log，則更著重於開發與維運需求，包括除錯便利性、使用行為分析、效能監控，甚至強化異常偵測與安全預警的能力。

釐清需求，是打造良好 Log 記錄策略的第一步，也是你省下大量重構成本的起點。

法規 Review

接下來，我們就先針對「法規」的部分，先做進一步地釐清。

根據不同產業別，需要做的事情也會不同，筆者列出幾個跟「Log」有一些關聯的法規。

常見法規與內容說明

1. ISO 27001:2022

適用機構：希望建立資訊安全管理系統（ISMS）並取得 ISO 國際認證的各類組織（如政府機構、金融業、科技業、醫療單位、雲端服務商等）。

條文相關內容：

8.15 存錄

紀錄活動、異常、錯誤及其他相關事件之日誌，應產生、儲存、保護及分析之。

2. 金融機構資通安全防護基準

適用機構：金融各類機構。

條文相關內容：

第四條、營運環境管理人員應符合下列要求：

五、除代登系統外於登入作業系統進行系統異動或資料庫存取時，應留存人為操作紀錄，並於使用後儘速變更密碼；但因故無法變更密碼者，應建立監控機制，避免未授權變更，並於使用後覆核其操作紀錄。

八、加解密程式或具變更權限之公用程式（如資料庫工具程式）應列管並限制使用，防止未經授權存取並保留稽核軌跡。

九、最高權限帳號使用時應先取得權責主管或授權人員同意並保留稽核軌跡。

第五條、個人資料保護應符合下列要求：

五、應針對核心資通系統及各類電腦系統建置留存個人資料使用稽核軌跡（如登入帳號、系統功能、時間、系統名稱、查詢指令或結果）或辨識機制，以利個人資料外洩時得以追蹤個人資料使用狀況。

六、應建立資料外洩防護機制，管制個人資料檔案透過輸出入裝置、通訊軟體、系統操作複製至網頁或網路檔案等方式傳輸，並應留存相關紀錄、軌跡及證據。

七、如刪除、停止處理或利用所保有之個人資料後，應留存下列紀錄： (一) 刪除、停止處理或利用之方法、時間。 (二) 將刪除、停止處理或利用之個人資料移轉其他對象者，其移轉之原因、對象、方法、時間，及該對象蒐集、處理或利用之合法依據。

第七條、營運環境之實體安全應符合下列要求：

七、應具備與機房相當之操作環境，或獨立可管制人員操作系統及設備之監控室，該監控室應符合下列要求： (一) 應具門禁及監視設備，且必須留存連線及使用軌跡，並定期稽核管理。

第八條、營運管理應符合下列要求：

四、應留存相關紀錄並建立適當保護機制及管理程序，相關紀錄至少留存一年。

第十六條、資訊安全事故管理應符合下列要求：

一、應將各作業系統、網路設備、資安設備之日誌，及稽核軌跡集中管理，進行異常紀錄分析，設定合適告警指標並定期檢討修訂。

三、如有資訊安全事故發生時，其系統交易紀錄、系統日誌、安全事件日誌應妥善保管，並應注意處理過程中軌跡紀錄及證據留存之有效性。

3. 資通安全責任等級分級辦法

適用機構：適用於政府機關、公營事業、關鍵基礎設施提供者，以及主管機關指定的特定民間單位。

依據不同的系統防護需求等級，有不同的日誌相關規定。

其規範舉凡從日誌保留時間、記錄內容、失效回應都有規範。

筆者列出幾個重要的：

記錄事件：

一、訂定日誌之記錄時間週期及留存政策，並保留日誌至少六個月。

日誌紀錄內容：

資通系統產生之日誌應包含事件類型、發生時間、發生位置及任何與事件相關之使用者身分識別等資訊，採用單一日誌機制，確保輸出格式之一致性，並應依資通安全政策及法規要求納入其他相關資訊。

詳細內容可以參考：

https://law.moj.gov.tw/LawClass/LawGetFile.ashx?FileId=0000298115&lan=C

自問自答表參考

筆者把可以定位問題的思考方式自己整理成心智圖，整合法規與優化的自我提問版本，歡迎大家參考～

主要思考的模式是需要先了解：

1. 自己是誰？

2. 聚焦問題：我們這個 Log 要拿來幹嘛?

3. 我們在看什麼 Log？避免在這層級的 Log 去記錄不適合記錄的東西。

4. 注意個資相關的 Log 要遮罩。

5. 關鍵行為你能還原嗎？誰做了什麼事情？什麼時候？

6. 注意 Log 留存、備份、權限問題。

亂糟糟的重點整合心智圖

如果覺得真的很難一次問這麼多問題，可以參考以下心智圖的重點～

Secured by Kika (=ˆ꒳ˆ=)