在現代企業中，ERP系統扮演著重要角色，為業務運營提供強有力的支援。然而，隨著企業對數位化和系統整合的依賴程度增加，系統使用安全性問題也愈加突出。在這些資通安全問題中，“事件日誌與可歸責性”是確保系統安全和合規的核心要素之一。本解決方案從以下三個方面詳細說明如何在ERP資通系統中有效管理事件日誌與可歸責性：事件記錄、日誌記錄內容及稽核資訊保護。
一、事件記錄
1. 日誌時間週期的設定與記錄留存政策
為了確保事件的溯源和責任可歸，日誌的記錄時間週期應當明確規定。建議以下策略：
- 即時記錄：企業針對系統運作時的關鍵資訊(如：登錄/退出日期、進入/退出時間、操作時長、使用者、網路用戶(登入/電腦)、模組名稱、單號、狀態(離開/修改/新增..等)、帳套代號、代號名稱..等，即時記錄到系統日誌，並可同步搭配單據資料變動模組，設定後續查詢分析的資料異動資訊(如單號/欄位之新舊值、變動日期、變動人等)。
(圖：ERP系統日誌查詢表)
(圖：ERP單據資料變動欄位設定)
2. 日誌留存政策
依據資通安全責任等級分級辦法中所要求資通系統應保存日誌（log），針對日常維運資通系統時，應訂定日誌之記錄時間週期及留存政策，並保留日誌至少6個月，其保存項目建議如下：
- 作業系統日誌(OS event log)
- 網站日誌(web log)
- 應用程式日誌(AP log)
- 登入日誌(logon log)
管理系統日誌並非易事，系統運作時為串聯企業前後端，形成數位足跡的交易關鍵資訊是非常大量，所以建議企業透由系統日誌之紀錄保留可設定覆蓋方式，並搭配企業自身儲存設備規模，進行長短期的存儲策略及銷毀策略的管理與監控。
- 覆蓋多少條以上日誌
- 覆蓋久於多少天的日誌
- 不覆蓋日誌(手工清除日誌)
(圖：ERP系統日誌留存覆蓋設定)
二、日誌記錄內容
1. 日誌核心資訊
ERP資通系統產生的日誌必須包含以下關鍵內容：
- 事件類型：如用戶登錄、檔訪問、許可權變更等。
- 發生時間：精確到秒的時間戳記，確保事件的時間軸清晰。
- 發生位置：包括伺服器、IP位址、地理位置等詳細資訊。
- 用戶身份識別：記錄使用者的ID、角色和具體操作行為。
2. 單一日誌機制與格式一致性
日誌資料應採用統一的格式輸出，以便分析與整合。以下是推薦實踐：
- 統一結構：所有日誌採用JSON或XML格式，便於機器讀取和解析。
- 標準化欄位：確保所有事件日誌包含標準欄位，如“時間戳記”、“事件代碼”、“用戶ID”等。
- 跨系統相容：制定介面協定，確保ERP系統與其他業務系統之間的日誌一致性。
3. 符合法規與政策要求
根據行業和法律規定，日誌記錄需包括額外的安全資訊：
- 存取控制日誌：記錄對敏感性資料的訪問操作。
- 異常檢測日誌：例如多次失敗登錄或許可權越權行為的詳細記錄。
- 外部介面日誌：針對與協力廠商系統匯集整合，需記錄所有調用的詳細資訊。
4. 日誌分析工具
企業可透由系統日誌速查功能快速進行識別潛在威脅分析，或採用第三方日誌分析工具與其他異質日誌整合分類和關聯分析，有效進行安全評估和管理決策。
(圖：ERP系統日誌查詢畫面)
(圖：ERP單據資料變動明細查詢畫面)
三、稽核資訊保護
1. 存取許可權管理
日誌資訊的存取權限應受到嚴格控制，僅授權使用者可以查看和操作：
- 角色分配：採用分級授權機制，區分系統管理員、安全分析員和稽核員的許可權。
- 多因數驗證：高敏感級別的日誌訪問需啟用雙重認證或生物識別認證。
2. 日誌篡改防護
防止日誌被惡意篡改或刪除是日誌管理的重要部分：
- 唯讀存儲：將日誌檔存儲在唯讀介質（如WORM磁片）上，防止未經授權的修改。
- 日誌校驗：定期驗證通過產出日誌檔其完整性。
- 變更通知：對日誌檔的任何修改操作進行警告通知。
3. 定期稽核與審查
日誌管理系統應定期接受稽核：
- 檢查日誌的完整性和可用性。
- 審查訪問日誌的使用者行為，確保許可權未被濫用。
- 出具合規性審查報告，滿足監管要求。
結論
在ERP資通系統的開發與運行中，“事件日誌與可歸責性”的管理至關重要。通過制定清晰的事件記錄政策、確保日誌記錄內容的完整性與一致性、強化稽核資訊的保護措施，企業能夠有效提升對內部與外部威脅的監控能力。這不僅能夠幫助企業實現對風險的即時感知和快速回應，還能在滿足法規要求的同時，提升企業在資訊安全領域的整體競爭力。
