审计能回答哪些问题
审计的价值体现在具体场景里。当企业怀疑某份方案被竞争对手拿到、某批客户名单被带走、某台电脑曾接入异常设备时，审计日志是唯一能还原过程的数据。
- 谁在什么时候打开、复制、修改了某个文件
- 哪些终端在非工作时间大批量访问了敏感目录
- 哪些文件被拷贝到了移动存储设备或上传到了网盘
- 某个账号在离职前一段时间内，导出了哪些资料
- 哪台终端接入过非注册的 U 盘或外设
审计维度
文件操作审计
记录文件的创建、修改、复制、重命名、删除、移动等操作，含操作人、终端、时间与目标路径，形成文件全生命周期轨迹。
上网行为审计
记录网页访问、搜索关键词、邮件收发、即时通讯与网盘使用情况。可用于排查异常外传渠道，也便于发现违规行为。
外设使用审计
记录 U 盘、移动硬盘、打印、刻录、蓝牙等外设的接入与使用情况，识别非注册设备接入行为。
异常行为告警
对大批量拷贝、非工作时间访问敏感目录、频繁外发等异常模式设置规则，触发后自动告警，从「事后查」变「事中拦」。
审计数据的合规使用
审计涉及员工行为数据，用得好是安全能力，用不好会引发劳资纠纷。我们建议企业在部署前就把三件事说清楚，并写入员工手册或劳动合同附件。
- 明确告知 —— 事先告知员工企业会进行终端行为审计，避免事后争议
- 限定范围 —— 审计范围限定于工作设备与工作相关行为，不采集与工作无关的隐私内容
- 明确用途 —— 审计数据只用于安全事件追溯与合规检查，不用于与工作无关的考评
常见问题
审计会不会侵犯员工隐私？
关键在于事先告知与范围限定。企业应在制度中明确审计的目白、范围与用途，并告知员工。审计对象限于公司提供的工作设备与工作相关行为，这样既是合规做法，也能减少员工抵触。
日志保存多久？占多少存储？
保存周期可按企业合规要求配置，常见为 6 个月到 2 年。日志本身为文本记录，占用空间通常不大；若需长期保存大量截图类证据，需要相应规划存储容量。
能实时看到员工屏幕吗？
IP-guard 支持屏幕记录功能，可按策略定时截屏留存以供事后取证。建议将其定位为「事后追溯的证据」而非「实时监视」，并在员工手册中明确告知。
审计报表怎么看？需要专人分析吗？
基础报表可直接查看，我们会在管理员培训中讲解常用报表的解读方法。日常不需要专人盯，建议按周或按月查看重点报表，关注异常项即可。
我们的行业有合规要求，审计能满足吗？
审计本身是合规检查的支撑手段之一，能否满足具体要求取决于行业规范细则。建议把行业合规要求告知我们，我们在策略设计时对应纳入。
审计和加密是两套系统吗？
同一平台的不同模块，共用策略中心与终端客户端，无需分别部署。实际方案中通常审计与加密搭配使用——加密负责阻断，审计负责留痕。