Dziennik audytu: kto to zmienił i kto to czytał

Wpis niesie osobę, jej rolę, adres IP, datę, rodzaj operacji i to, czego dotyczył: pracownika, wniosku, dokumentu, listy płac. Przy zmianie widać wyłącznie pola, które się zmieniły, razem z wartością przed i po. Dziennik obejmuje cały system, a nie wybrane moduły: kadry i rejestry zgodności, wnioski i urlopy, dokumenty i podpisy, płace razem z PPK, ZFŚS i benefitami, czas pracy, rekrutację oraz ustawienia firmy. Zdarzenia bez udziału człowieka, jak nocne naliczenie urlopów albo zmiana planu po stronie operatora płatności, są oznaczone jako systemowe.

Jeżeli firmę obsługuje biuro kadrowo-płacowe, wpisy jego pracowników są dodatkowo podpisane nazwą biura, a jednym przełącznikiem zawężasz dziennik do samych działań biura. Odnotowane jest też każde wejście osoby z biura do systemu, bo art. 28 RODO daje administratorowi prawo sprawdzić, jak pracuje jego procesor, a bez tego czynności biura wyglądały w dzienniku dokładnie tak samo jak czynności własnego zespołu.

Wyciek danych rzadko wygląda jak edycja, znacznie częściej jak pobranie. Dlatego obok zmian prowadzony jest wykaz odczytów, od paska wynagrodzenia i dokumentu z akt po eksport całej kartoteki. Każda pozycja mówi, kto pobrał, czego dotyczyło, ilu osób i czy w pobranych danych były numery identyfikacyjne albo wynagrodzenia. Odczyt własnych danych przez pracownika jest liczony osobno, żeby nie zagłuszał pozostałych.

Tak samo zapisywane są wywołania publicznego API: przy każdym zapytaniu zostaje nazwa użytego klucza, zasób, wynik, liczba zwróconych rekordów i adres IP, a przy odmowie także jej powód, więc widać różnicę między kluczem, któremu skończyła się ważność, a kluczem odwołanym, którym ktoś wciąż się posługuje. Raz na dobę Kadrello samo przegląda ten rejestr i zgłasza administratorom to, czego nikt nie wypatrzy w tabeli: użycie odwołanego klucza, pobranie danych identyfikacyjnych lub płacowych w skali, jakiej ta firma nie potrzebuje, i długie dobijanie się do limitu zapytań.

Wpis widzi ten, kto widzi rzecz, której wpis dotyczy, więc zmiany zastrzeżone dla administratora, jak ustawienia firmy, widełki czy role, zobaczy tylko administrator. Wykaz odczytów i rejestr wywołań API są w całości administracyjne. Dziennik zawężasz do tego, co Cię interesuje, a wyszukiwanie obejmuje autora, operację i treść zmiany, dzięki czemu odnajdziesz wpis po nazwisku albo po dawnej wartości pola. Eksport bierze wszystko, co pasuje do zawężenia, nie tylko to, co akurat widać na ekranie. Nazwisko autora zostaje we wpisie także po usunięciu jego konta.