Velros 运营为什么需要留证据记录和确认记录

留痕是为了回溯，不是为了监视

问一句“哪儿出错了”而没人答得上来，同样的事就会再来一次。什么时候进来的、谁看了什么、按哪条规则处理的，只要这些还在，一次事故就能变成下一条标准。

日志留多久，是法律定死的

《网络安全法》第21条要求网络运营者采取监测、记录网络运行状态和网络安全事件的技术措施，并留存相关的网络日志不少于六个月。相比之下，欧盟的 GDPR 第32条只要求采取适当的安全措施，并未规定期限；美国常被引用的“一年”出自 PCI-DSS，那是银行卡行业标准，不是法律。看适用于你的那一条，而不是听来的那一条。

《网络安全法》第21条 · 2017年6月1日施行。对照：GDPR 第32条；PCI-DSS v4.0 要求10（行业标准，非法律）

有六样东西必须在记录里

什么时候进来、什么时候处理完。是不是 AI 起的草、谁批的。看了什么、做了什么。套用了哪条公司标准或例外。是执行了、挂起了，还是驳回了。以及同事改了什么、为什么改。少了最后一样，记录就只是审计材料，长不成标准。

删记录这件事，本身就要审批

凡是可能损害审计依据的操作，都不自动做。修改和删除记录、访问敏感信息，都要等人确认。要是写记录的人也能抹掉记录，那份记录就不是证据。

办得好的那些，也要留下来

只记事故，就只从事故里学。同事一字未改就发出去的草稿、客户立刻认可的回复，同样要留，否则没人知道什么是管用的。标准不会只从失败的那一侧长出来。

保存期限是定出来的，不是剩下来的

无限期保存不是安全，是风险。什么留、留多久、什么时候销毁、合同结束时把什么还给客户、把什么毁掉，开始的时候就写清楚。