先划审计范围
把处理活动按采集、存储、使用、加工、传输、提供、公开、删除八类列出，落到具体系统与岗位。范围不是全系统，而是这八类动作真实发生的地方；划不清就只能靠日志碰运气，线下导表与邮件传递最容易被漏掉。
一条记录六要素
每条记录要有时间、操作主体、数据对象、动作类型、授权依据与结果。多数企业只留时间和账号，出事时证明不了是否获授权；授权依据可以是工单号或数据使用申请，缺这一项，记录只能证明有人动过数据。
留存与防篡改
网络日志按网络安全法要求留存不少于六个月，数据审计留痕通常更长，年限由行业监管与内部制度确定。技术上写入独立存储、入库即校验、限制删改权限，不要与被审计系统同权，否则一次入侵就能把证据清干净。
审计节奏与出证
季度自查看权限清单与共享台账，年度对重要数据处理活动做风险评估并形成报告。对外出证时导出原始记录并附口径说明，由客户合规与法务复核签认；我方提供记录与导出工具，不替代审计结论，也不对监管认定作承诺。
责任落到三处
责任要落到三处：用数部门负责人对记录内容是否真实负责，信息中心保证日志完整、对时准确且业务侧删不掉，合规负责人判断口径够不够用。验收时随机抽三条真实业务链路，从申请到导出逐环走通，断在哪环就退回哪环，验收结论与抽到的链路编号一并留档。
适用与不适用
适合谁
- 已上线数据处理系统、需要应对监管检查的企业
- 存在数据共享、委托处理或对外提供场景的团队
- 愿意指定合规负责人做复核签认的组织
不适合谁
- 只想买一套日志平台、不梳理处理活动的项目
- 希望由外部机构直接出具合规结论的企业
典型场景
某零售企业的会员数据散在客户管理、订单与客服三套系统。合规负责人先列出八类处理动作各自落在哪个系统、由谁触发，信息中心把操作日志、审批单号与共享协议编号接入统一存储并按季抽查。检查时按一条会员数据调出完整链路，由合规负责人签认说明。
可执行步骤
- 按采集到删除八类动作，逐项列出对应系统、岗位与审批入口，标出线下传递环节
- 为每类动作确定必录字段，并给授权依据一套可检索的编号规则，便于日后回溯
- 把日志集中到独立存储，开启写入校验，把删改权限收到最少的人手里，并定期抽查对时偏差
- 规定留存期限、季度抽查比例与自查责任人，并把这三项写进安全管理制度
- 准备出证模板，写清楚导出字段、口径说明与客户复核签认的具体环节，避免临时拼凑材料
常见坑
- 只采登录日志，业务层的查询、导出与共享没有记录，检查时说不清数据流向，临时补材料反而把风险放大。
- 日志与被审计系统同权限，运维做一次例行清理就把证据删掉，事件时间线拼不起来，只能靠回忆还原。
- 留存期限按最短期设置，跨年度检查时记录已经过期，原本能说清的事变成无法提供，补也补不回来。
- 把系统导出直接当成审计结论提交出去，没有客户复核签认，口径一旦出错，责任就落到交付方头上。
自检与验收清单
- 审计范围是否覆盖八类处理动作，并包含线下导表环节
- 每条记录是否都带授权依据编号，可以反查到审批单
- 日志是否独立存储，删改权限是否与业务系统彻底分离
- 留存期限是否同时满足行业监管要求与内部制度
- 是否约定季度自查责任人与对外出证的复核人
常见问题
日志留够六个月就算合规了吗？
六个月是网络日志的底线要求，不覆盖审计留痕的全部内容。共享协议、出境审批、重要数据处理活动的评估报告通常要按行业监管与内部制度保存更久；具体年限建议由客户法务结合本行业口径确定，不要照抄其他企业。
已经做了等保，还需要单独做数据审计吗？
两套关注点不同：等保看网络与系统的安全控制，数据审计看数据本身的处理活动与授权链。日志、堡垒机与权限台账可以复用，但审计对象、证据包与结论要单独成文，测评报告不能替代处理活动记录。
第三方出的审计报告有法律效力吗？
第三方报告属于证据材料，是否构成合规结论由监管与司法认定，不由服务机构自行宣告。较稳妥的做法是把系统记录、审批链与整改闭环整理成可核查的证据包，由客户合规负责人签认后再对外提交。