清单与字典成对
交接第一份材料是事件清单与字段字典：哪些动作必须留痕、每个字段什么含义、哪些字段可以为空。为什么成对：只有清单没有字典，接手人看不懂日志内容；只有字典没有清单，又不知道哪些事件漏了，两份必须成对移交。
拓扑与代码索引
画一张采集拓扑图，标清网关、应用、模型调用三处的采集点与去向，并给出代码中埋点的位置索引。为什么需要代码索引：字段改名或新增事件时，接手人要能直接找到埋点位置，而不是把整个代码库搜一遍。
脱敏与审批规则
脱敏规则表写清字段、规则、生效版本与例外；访问审批写明审批人、可查范围与响应时限。边界：可查范围由客户方安全负责人确认，实施方按配置执行；规则变更要走审批并同步更新文档版本号。
查询语句与演练
把常用查询语句与检索入口写进文档，并附最近几次还原演练的耗时与缺口。为什么有用：接手人第一次做调取时有现成语句能少走弯路；演练记录则说明这套日志体系实际可用，而不是纸面齐备。
交接验收看实操
文档齐不齐可以数，能不能用只能用一次实操来验。做法：让接手方独立完成一次日志调取与一次新增事件埋点，原负责人只观察不插手，记录耗时、卡点与需要补充的说明；两项都在约定时间内走通才算交接完成。客户方项目负责人现场确认结果，遗留缺口列入清单限期补齐。
适用与不适用
适合谁
- 由外部实施方交付的日志体系与部门
- 信息中心接管业务系统的组织与部门
- 需要定期接受审计的企业与部门及其实施团队
不适合谁
- 仅内部演示、无审计要求的工具或演示原型
典型场景
某能源集团的合同问答系统由外部实施方移交给信息中心。移交清单包括事件清单、字段字典、采集拓扑、埋点代码索引、脱敏规则表与三次还原演练记录；接手方按文档独立完成一次调取与一次规则变更，原团队只做观察与答疑。
可执行步骤
- 整理事件清单与字段字典，逐项写明含义、来源与是否允许为空，完成后归档。
- 绘制采集拓扑图，标注网关、应用与模型调用三处的采集点，并留存记录。
- 给出埋点代码位置索引，便于接手人按事件名称快速定位到具体文件并修改。
- 移交脱敏规则表、访问审批流程与常用查询语句清单并说明用途，由责任人确认。
- 组织一次交接演练，由接手方独立完成日志调取与脱敏规则变更，结果纳入验收。
常见坑
- 只交一个日志平台账号，没有事件清单与字段字典，接手人看不懂字段含义，调取全靠猜。
- 没有埋点代码索引，字段改名或新增事件时只能全库搜索，改错位置还会静默失效，事后难以补救。
- 脱敏规则只存在实施方工程师的配置里，交接后无人知道哪些字段做了处理，审计说不清。
自检与验收清单
- 事件清单与字段字典是否成对移交并版本对齐
- 采集拓扑图与埋点代码索引是否可供快速定位
- 脱敏规则表是否标注字段、规则与生效版本，并有记录
- 访问审批流程是否写明审批人、范围与响应时限
- 是否完成一次由接手方独立主导的调取演练，可现场抽查
常见问题
文档要写到什么程度？
写到接手人能独立完成一次调取与一次规则变更。检验方法很直接：让他按文档操作，全程不提问；中途需要打电话确认的地方，就是文档缺口，补上再签交接，比事后反复答疑省时间。
日志平台账号怎么交？
通过客户方统一的凭据管理移交，不写进文档，也不发聊天工具。移交后立即修改初始凭据，回收实施方的临时权限，并把账号清单与责任人登记在案，避免出现无人认领的长期有效账号。
演练记录要留多久？
至少保留到下一次同类演练完成，并与验收材料一并归档。演练记录的价值在于证明体系可用，也是后续排查的参照；只写结论不写耗时与缺口，等于没有记录，评审时也很难采信。