2. 合规证据基础

在合规证据自动采集与版本归档的整个体系中，第一步不是写脚本、不是接接口，而是把“什么算合规证据”这件事说清楚。定义不清，采集就会变成无差别抓取；类型不分，归档就会把日志、截图、审批单混在一起；法律效力不明，辛苦采集的材料在审计或诉讼中可能不被采信。本节围绕定义、类型、法律效力、来源与采集要求五个维度，建立后续所有自动化工作的判断基准。

一、核心原理：合规证据的本质是“可证明合规状态的事实材料”

合规证据，是指在合规管理活动中，能够证明某一控制措施已被设计、已被执行、已产生预期效果，或能够证明某一违规事实存在与否的客观材料。它不同于一般业务数据，核心特征有三点：关联性——必须与特定合规义务或控制项对应；真实性——能够追溯生成主体、生成时间与生成环境；完整性——从生成到归档未被篡改、缺失或断链。

理解这三个特征，就能理解为什么“截图存桌面”不是合规证据管理，而“带时间戳、带操作人、带系统日志的自动归档”才是。合规证据的价值不在于数量，而在于能否在需要时形成一条完整的证明链。

二、合规证据的类型与法律效力分层

合规证据可以按来源、形态和证明力三个维度分类。按来源分为内部证据与外部证据；按形态分为电子证据与纸质证据；按证明力从高到低，通常呈现如下分层：

在法律效力层面，电子证据的可采性通常取决于四个要素：生成主体的身份可识别、生成时间的可信性、内容未被篡改、存储过程完整。这也是为什么自动采集系统必须记录采集人、采集时间、源系统标识和哈希值。缺少这些元数据，证据的证明力会大幅下降。

三、常见来源与采集要求

合规证据的常见来源可以归纳为六类系统：身份与访问管理系统、终端与服务器操作系统、网络与安全设备、业务应用系统、审批与工单平台、以及外部监管与第三方平台。不同来源的采集方式、频率和保留要求差异明显。

• 身份与访问管理系统：采集账号清单、权限变更记录、登录日志。要求保留变更前后对比，采集频率建议每日增量。
• 操作系统与终端：采集安全配置基线、补丁状态、本地审计日志。要求保留系统标识与采集时间。
• 网络与安全设备：采集防火墙策略、入侵检测告警、VPN登录记录。要求保留设备型号、固件版本和配置版本号。
• 业务应用系统：采集关键操作日志、数据导出记录、敏感字段访问记录。要求与业务单据号关联。
• 审批与工单平台：采集审批流、签核人、签核时间、附件。要求保留完整流程快照。
• 外部监管与第三方平台：采集监管报送回执、第三方审计报告、云服务商合规证明。要求保留获取渠道和获取时间。

采集要求可以概括为“四可一不可”：可追溯、可验证、可关联、可归档，不可篡改。具体落地时，建议在采集脚本中强制写入以下元数据字段：

{
  "evidence_id": "EVD-2025-0001",
  "source_system": "IAM-PROD",
  "source_object": "user_access_review",
  "collected_by": "auto_collector_v2",
  "collected_at": "2025-06-15T02:00:00Z",
  "hash_sha256": "a3f5...e9b2",
  "retention_policy": "7y",
  "related_control": "AC-2"
}

四、案例与复盘：一次审计中的证据断链

某金融科技公司在一次外部审计中被要求证明“离职员工账号在离职当日已被禁用”。团队提供了IAM系统的账号状态截图，但审计人员发现截图没有时间戳，也没有对应的操作日志。进一步追查发现，账号确实被禁用，但禁用操作发生在离职后第三天，且没有审批记录。最终该控制项被判定为“执行不及时”，并开具了整改项。

复盘来看，问题不在技术能力，而在证据采集设计：第一，截图未自动附加时间戳和操作人；第二，禁用操作未与离职工单关联；第三，采集频率为每周一次，无法证明“当日”执行。改进方案是：将IAM禁用操作接入工单系统，自动触发采集，采集内容包括操作日志、工单号、执行时间，并实时写入归档库。这样形成的证据链才能同时满足关联性、真实性和完整性。

这个案例说明，合规证据基础工作不是行政负担，而是自动化采集的“需求规格说明书”。只有先把定义、类型、法律效力和采集要求定清楚，后续的版本归档、哈希校验、保留策略和审计导出才有稳定的判断依据。