CRM审计日志该记什么？用事件字段、留存与告警规则验收

销售说“客户归属被改了”，管理员却只能看到最后值；一次批量导出发生后，日志有用户名却没有数据范围和结果。可用的CRM审计日志必须回答“谁、何时、在哪里、对什么做了什么、结果如何”，并且日志本身不能成为敏感数据泄露源。

先选事件，不要追求“全记”

NIST SP 800-92把日志管理定义为生成、传输、存储、访问和处置日志的完整过程。CRM应优先记录能改变权限、数据归属、关键业务结果或数据外流风险的事件，而非每次普通查询的全文。

每条审计记录至少包含六类字段

NIST SP 800-53 AU-3要求审计记录能建立事件类型、时间、位置、来源、结果和相关主体/对象。落到CRM，建议字段为：事件ID与关联ID；事件类型与动作；统一时间戳和时区；用户、租户、角色和会话；对象类型、业务主键与数据范围；前后值摘要、结果、失败原因和来源IP/客户端。

日志必须有稳定事件ID，跨接口的操作再用关联ID串起。只记“用户编辑客户”无法判断改了哪个客户、哪个字段和是否成功。

敏感信息排除表要先于上线

OWASP Logging Cheat Sheet提醒日志中避免直接保存会话ID、访问令牌、密码、敏感个人数据和不应记录的密钥。CRM应建立日志字段白名单：不记密码、验证码、token、完整请求头和附件原文；联系方式、证件和自由文本按需脱敏或只记录字段名与变更摘要。

留存期限按用途分层，不猜一个统一年限

把在线快速查询、近线审计、归档证据分层管理。期限由业务争议周期、安全响应需要、合同和适用法规共同决定，每个日志域记录数据责任人、保留期、冻结例外、到期处置与删除证据。对数据留存可参考CRM数据保留矩阵。

日志权限比业务权限更应收紧

• 业务用户只查自己可见对象的必要操作记录；
• 安全或审计角色按租户和时间范围查询，导出另行授权；
• 系统管理员能配置业务，不默认拥有删改审计记录权限；
• 日志查询、导出、策略修改和删除本身再留日志；
• 租户ID由服务端上下文确定，不信任前端传入的查询范围。

告警规则要有基线、阈值和闭环

不是每条日志都需要告警。建议用用户、租户、对象、时间窗口和数量五个维度建基线，再管理高频失败登录、特权扩大、短时批量转交、大量导出、关闭审计与非工作时段管理操作。每条规则保存阈值版本、告警接收人、升级时限、调查结论和关闭证据。

上线前先以观察模式运行，记录误报与漏报，不直接阻断正常业务。规则改动也要留审计记录，否则一次临时关闭就可能让整个证据链失效。对于账号共用、时钟未校准或事件ID不唯一等基础问题，先修复数据可靠性，不要用更复杂的告警规则掩盖。

用八条正反用例验收

1. 成功与失败登录均留记录，但不记密码；
2. 修改客户归属能回读前后值、原因和审批ID；
3. 批量导出记录对象类型、数量、条件与结果，不存完整文件；
4. 普通用户无法查看他人或其他租户日志；
5. 管理员修改日志策略会留不可抵赖记录；
6. 时间校准异常时不会破坏事件排序；
7. 日志存储将满时先告警，不静默丢弃；
8. 按事件ID导出证据后能校验完整性和查询人。

身份停权可与CRM单点登录验收联动，数据权限边界参考CRM数据权限设计，客户归属变更结合CRM客户归属冲突规则，上线前用CRM沙箱测试门禁回放异常事件。

需要核对CRM审计证据链？申请CRM安全验收评估，用事件清单和正反用例现场复测。

主要信息来源

• NIST SP 800-92：Guide to Computer Security Log Management
• NIST SP 800-53 Rev. 5.1：AU-3 Content of Audit Records
• OWASP Logging Cheat Sheet
• OWASP Logging Vocabulary Cheat Sheet