auditspårning

Auditorspårning, eller auditspårning, är processen att registrera och bevara en oföränderlig redogörelse för händelser och åtgärder i ett informationssystem. Syftet är att kunna avgöra vad som hänt, när det skedde och av vem, samt att stödja säkerhet, efterlevnad, riskhantering och forensisk analys. Auditspårning används inom IT-drift, applikationssäkerhet och affärsprocesser där spårbarhet är viktig.

Vanliga loggfält omfattar tidsstämpel, användaridentifierare, typ av åtgärd, målobjekt, resultat och berörd systemkomponent. Loggarna lagras ofta i centrala loggtjänster eller säkerhetsinformations- och händelsehanteringslösningar (SIEM). För att motverka manipulation bör loggar vara immutabla eller auktoriserade tillförlitliga källor, exempelvis via append-only-lagring, kryptografisk hashsignering och noggrant tidsstämplade poster. Bevarande- och raderingspolicyer styr hur länge data behålls och hur den avslutas säkert.

Användningsområden inkluderar granskning av användarbeteende, incidentrespons och efterlevnad av lagar och standarder som ISO 27001 och olika branschspecifika regler. Vidare måste hänsyn tas till integritet och dataskydd (t.ex. GDPR i EU) när känsliga uppgifter loggas. Vanliga utmaningar är volym, prestandapåverkan, ökad risk för personuppgiftsavslöjande och behov av konsolidering mellan olika system.

Bästa praxis innefattar en tydlig loggningspolicy, definierade minimifält, starka åtkomstkontroller, korrekta tidskällor, regelbunden granskning och incidentövningar samt säkra retention- och arkiveringsrutiner.