auditointijäljen

Auditointijälki on tapahtumien aikajärjestetty kirjaus siitä, mitä järjestelmässä on tapahtunut, kenellä käyttäjällä ja millä tavalla. Sen tarkoituksena on mahdollistaa tapahtumien rekonstruointi, epäilyttävien toimien havaitseminen sekä vastuun osoittaminen. Auditointijälki muodostaa todisteiden ketjun, jonka avulla voidaan myös toteuttaa jäljitettävyyden periaatteita ja rikos- tai tietoturvatutkinnan perustaa.

Yleensä auditointijälki sisältää esimerkiksi ajanhetken, käyttäjän tai prosessin, toimeenpantun toiminnon, kohteena olleen resurssin sekä lopputuloksen tai tuloksen tila. Joissakin järjestelmissä kerätyt tiedot voivat sisältää lisätietoja kuten IP-osoitteen, istunnon tunnisteen, muutoskohteen vanhan ja uuden arvon sekä laitteiston tai sijainnin. Tietosuoja ja minimointi voidaan huomioida siten, että arkaluonteinen data ei tallennu tarpeettomasti, mutta kirjaa säilytetään riittävästi turvallista jälkiseurantaa varten.

Toteutus ja tekniset ratkaisut perustuvat usein lokien keräämiseen, keskitettyyn hallintaan sekä muutamanne, immuutille tallentamiseen. Käytettyjä käytäntöjä ovat lisäämisvetoiset (append-only) lokit, aikaleiman ja tietoturvan varmistavat toimenpiteet sekä salasanalukit tai digitaaliset allekirjoitukset. Organisaatiot voivat hyödyntää keskitettyjä SIEM- tai auditointijärjestelmiä sekä pitää yllä selkeitä säilytys- ja pääsynhallintaperiaatteita.

Auditointijälki on keskeinen osa hallintaa, turvallisuutta ja säädösten noudattamista monilla aloilla, kuten IT-turvallisuudessa, talousjärjestelmissä ja terveydenhuollossa. Haasteita ovat jätteiden määrä, yksityisyyden suoja, logien ilmankulut sekä tapahtumien oikea-aikaisuus ja tuki virhetilanteiden analyysiin.