门禁事件日志与审计怎么做：开门记录字段、留存口径与异常甄别

门禁日志不是存完就了事，它的价值在审计：通行事件和管理操作两类记录要全、要防篡改、要能按时间、人员、门点、事件类型多维检索。通行与管理操作日志一般按不少于 90 天留存，高安全区域加密存储并备份；权限按最小授权、三权分立分级，连续认证失败、非工作时间高频操作这类异常要能自动甄别。本文给字段表与审计落地清单。

门禁日志记两类：通行事件与管理操作

门禁日志分两类，缺一类审计就断一半。通行事件记录每个人的进出行为；管理操作记录系统本身的变动，比如权限变更、卡片增删、参数配置、报警处理和日志导出。后者常被忽略，但权限被偷偷改过、卡片被悄悄删掉这类问题全靠管理操作日志才能查出来。

通行记录的五要素

一条可用的通行记录至少包含五个要素。人员身份对应到具体的人；验证方式区分卡号、人脸、指纹、密码还是远程授权；通行时间精确到秒；通行门点定位到哪扇门；通行结果要区分成功、失败以及失败原因。五要素齐全，事后核查才能还原一次完整的进出过程。

留存多久、怎么防篡改

留存时长按项目要求与行业惯例定，通行日志和管理操作日志一般不少于 90 天；涉及司法、监管等场景按对应规定执行。防篡改是审计的底线，日志要加密存储、不可删除、不可手工修改，本地与云端双备份避免单点故障，高安全方案可对日志做国密摘要校验，保证数据真实完整。

1. 留存口径：通行与管理操作日志一般不少于 90 天，监管场景按专门规定；
2. 加密存储：日志落库加密，防外部读取与泄露；
3. 不可删改：系统层面禁止人工修改与批量删除日志；
4. 双备份：本地服务器与云端备份各一份，按月归档；
5. 摘要校验：高安全区域用国密算法对日志计算摘要，防篡改可验证。

多维检索与报表

审计效率取决于检索能力。日志要能按时间范围、人员身份、通行门点、事件类型四个维度组合筛选，并一键导出标准化报表。事件发生时按时间倒查，追权限问题时按人员正查，查门点时按门点聚合，组合条件能快速收敛范围。

1. 按时间范围：定位特定时段内的全部事件；
2. 按人员身份：追某一人员的全部门禁轨迹；
3. 按通行门点：聚合单扇门的开门记录与异常；
4. 按事件类型：筛失败记录、报警事件、管理操作；
5. 报表导出：标准化格式带水印，可直接用于核查与上报。

异常模式怎么甄别

日志的实时价值在异常甄别，不能等出事才翻记录。连续认证失败指向暴力尝试或卡片失效；非工作时间的高频操作指向异常使用；权限变更与发卡记录要定期核对，防止内部操作失控；长期未使用的卡片突然通行要触发核验。这些模式大多能靠系统规则自动告警。

1. 连续认证失败：短时间内多次失败，比对是否暴力尝试；
2. 非工作时间高频操作：夜间或休息日的反常授权与通行；
3. 权限变更审计：定期核对角色调整、卡片增删与操作人对应；
4. 休眠卡激活：长期未用卡突然出现通行记录，人工复核；
5. 异常告警联动：高风险事件同步推送值班人员并留存处理记录。

权限分级：最小授权与三权分立

审计的前提是权限可控，权限分级按最小授权与三权分立落地。超级管理员管角色创建与系统参数；管理员做日常权限维护与设备监控；操作员只有记录查询与临时授权；普通用户只有通行权限；临时访客拿限时限区的临时授权。授权过期自动失效，反潜回、互锁、多重认证等策略拦截越权行为。

TL;DR 检查清单

• 日志分两类：通行事件管进出，管理操作管权限与配置变动，两类都要记；
• 通行记录五要素：人员身份、验证方式、时间、门点、结果，缺一不可；
• 留存一般不少于 90 天，加密存储、不可删改、本地与云端双备份；
• 检索按时间、人员、门点、事件类型四维组合，报表可一键导出；
• 异常甄别盯连续认证失败、非工作时间高频操作、权限变更、休眠卡激活；
• 权限按超管、管理员、操作员、普通用户、临时访客分级，最小授权加三权分立。

参考资料

• access-control-permission-management
• gb37078-access-control-requirements