3. 证据留存基本原则：完整性、不可篡改性、可追溯性、时效性、最小化原则

Runbook 执行结果作为运维合规审计的核心证据，其留存质量直接决定证据是否具备法律效力与审计价值。证据留存必须遵循五大基本原则，确保每一份执行记录都能经得起审计推敲。

3.1 五大原则概览

原则	核心要求	审计价值	常见违规场景
完整性	证据包含执行全过程的输入、输出、上下文、时间戳、操作人	还原完整执行链路，避免断章取义	只保留成功日志，丢弃错误堆栈
不可篡改性	证据写入后无法被任何用户（含管理员）修改或删除	保证证据真实性与法律效力	日志文件被手动编辑或 truncate
可追溯性	每条证据可关联到具体 Runbook 版本、执行人、触发事件	快速定位问题根因与责任归属	执行记录缺少 Runbook 版本号
时效性	证据在生成后立即归档，并在规定保存期内可检索	满足合规保留期限要求	日志延迟 24 小时才入库
最小化原则	仅留存与执行结果直接相关的必要数据	降低存储成本与隐私泄露风险	全量抓取数据库表数据作为证据

3.2 完整性：全要素留存

完整性要求证据包含执行全生命周期的所有关键要素，缺一不可。审计时若发现证据链存在断点，该次执行将被判定为不可信。

3.3 不可篡改性：写一次，永不改

不可篡改性（Immutability）是证据具备法律效力的基石。一旦证据写入存储系统，任何用户（包括 root 和数据库管理员）都不能修改或删除已归档的记录。

实现不可篡改性的技术方案对比：

方案	原理	适用场景	成本
对象存储 + 对象锁定	S3 Object Lock / 阿里云 OSS 合规保留策略	云原生 Runbook 执行结果归档	低
区块链式日志	每条记录包含前一条的哈希值，形成链式结构	金融、政务等高合规要求场景	中
WORM 磁带 / 光盘	物理介质写入后不可擦除	离线归档、长期保存（10 年以上）	高
数据库 + 触发器禁止更新	通过数据库触发器或行级安全策略禁止 UPDATE/DELETE	中小规模内部审计	低

3.4 可追溯性：从证据到根因

可追溯性要求每条证据都能沿着执行链路反向追溯到原始触发事件、Runbook 版本、执行人以及上游依赖。审计人员应能在 3 次点击内完成从“异常结果”到“根因”的定位。

# 证据记录示例（JSON 格式）
{
  "trace_id": "runbook-20250321-abc123def",
  "runbook_name": "database_failover",
  "runbook_version": "v2.3.1",
  "executor": "ops-robot@company.com",
  "trigger_event": {
    "type": "alert",
    "source": "prometheus",
    "alert_name": "MySQLReplicationLagHigh"
  },
  "execution_start": "2025-03-21T14:30:00.123Z",
  "execution_end": "2025-03-21T14:30:45.789Z",
  "steps": [
    {"step": 1, "action": "check_replication_lag", "result": "lag=120s"},
    {"step": 2, "action": "promote_standby", "result": "success"}
  ],
  "output": "failover completed, new master: db-standby-02"
}

3.5 时效性：即时归档与保留周期

证据必须在执行完成后 5 分钟内 完成归档，否则视为时效性违规。同时，不同合规标准对证据保留期限有明确要求：

合规标准	证据保留期限	说明
PCI DSS	至少 1 年	审计日志需保留 12 个月，最近 3 个月可在线检索
SOX	7 年	财务相关 IT 控制证据需保留 7 年
GDPR	按处理目的确定	证据中若包含个人数据，需在目的达成后删除
ISO 27001	至少 3 年	事件日志、变更记录、访问记录

3.6 最小化原则：只存必要数据

最小化原则要求证据留存仅包含与执行结果直接相关的数据，避免因过度采集引入隐私风险与存储浪费。审计合规中，过度留存反而可能违反数据保护法规。

最小化原则实施要点：

• 输入参数脱敏：密码、、密钥等敏感字段在留存前必须脱敏（如 password: ******）
• 不采集全量数据：Runbook 执行过程中产生的临时文件、中间结果，除非审计需要，否则不纳入证据
• 定义证据范围：在 Runbook 设计阶段即明确“哪些输出需要留存”，避免事后补录
• 定期清理：超过保留期限的证据自动删除或归档至冷存储

3.7 五大原则的审计检查要点

在合规审计中，审计人员会针对每条原则逐一检查。运维团队应提前对照以下要点进行自检：

原则	审计检查问题	通过标准
完整性	随机抽取 10 条执行记录，是否都包含版本号、执行人、时间戳？	100% 包含
不可篡改性	尝试修改或删除一条已归档证据，系统是否拒绝？	操作被明确拒绝并记录告警
可追溯性	从一条异常结果出发，能否在 3 步内找到对应的 Runbook 版本和触发事件？	链路可完整追溯
时效性	证据生成时间与归档时间之差是否小于 5 分钟？	95% 以上记录满足
最小化	证据中是否包含非必要的敏感数据（如明文密码、全量数据）？	0 条违规