Jurnalul de audit este funcția pe care nimeni nu o cere la achiziție și pe care toată lumea o caută în ziua în care apare o contestație. Merită înțeles înainte de acea zi, pentru că nu se poate adăuga retroactiv: un jurnal pornit astăzi nu spune nimic despre ce s-a întâmplat anul trecut.
Ce este și ce nu este un jurnal de audit
Un jurnal de audit este consemnarea automată a operațiunilor efectuate într-un sistem informatic: cine, ce, când. Nu este un registru de documente, nu este un istoric de versiuni ale unui fișier și nu este un raport de activitate.
Distincția utilă: registrul spune ce documente au intrat; jurnalul spune ce s-a făcut cu ele. Prima întrebare a unui control este de obicei despre registru. A doua, când ceva nu se potrivește, este întotdeauna despre jurnal.
Ce trebuie să consemneze
Minimul funcțional are cinci elemente:
| Element | La ce folosește |
|---|---|
| Utilizatorul | Cine a acționat — contul, nu doar rolul |
| Acțiunea | Creare, modificare, repartizare, schimbare de status, ștergere, export, autentificare |
| Obiectul | Lucrarea, documentul sau contul asupra căruia s-a acționat |
| Data și ora | Momentul exact, nu doar ziua |
| Adresa IP | De unde s-a acționat — relevant la suspiciunea de acces neautorizat |
La modificări, jurnalul ar trebui să rețină și valoarea anterioară, nu doar pe cea nouă. Fără ea, nu se poate răspunde la întrebarea „ce scria înainte”, care este exact întrebarea care se pune.
Două operațiuni sunt frecvent omise, deși sunt cele mai sensibile: autentificările (inclusiv cele eșuate) și exporturile de date. Un export masiv de date la ora două noaptea, dintr-un cont care nu îl face niciodată, este exact genul de eveniment pentru care există jurnalul.
De ce trebuie să fie imutabil
Aceasta este proprietatea centrală, iar restul detaliilor sunt secundare față de ea. Un jurnal în care înregistrările pot fi modificate sau șterse nu dovedește nimic — pentru că orice ar conține, cineva ar fi putut să îl aranjeze.
Imutabilitatea înseamnă, tehnic, că înregistrările se scriu o singură dată: nu există operațiuni de modificare sau ștergere, pentru nimeni, inclusiv pentru administratorul sistemului și pentru furnizor. O corecție nu se face prin rescriere, ci printr-o înregistrare nouă care o explică.
Întrebarea de pus furnizorului este directă: „Poate cineva, oricine, să șteargă o înregistrare din jurnal?” Orice răspuns care începe cu „în principiu, nu, dar…” înseamnă da.
Ce întrebări lămurește la control
Jurnalul răspunde, în câteva secunde, la întrebări care altfel cer zile de reconstituire din memorie:
- „Când a fost înregistrată efectiv această petiție?” — dacă data din document diferă de cea reală, jurnalul arată când a fost creată înregistrarea.
- „Cine a schimbat termenul acestei lucrări?” — cu valoarea anterioară și cea nouă.
- „De ce lucrarea a fost repartizată de trei ori?” — cu motivul consemnat la fiecare redistribuire.
- „Cine a avut acces la acest dosar?” — relevant într-o sesizare privind protecția datelor.
- „Documentul a fost modificat după semnare?” — și de către cine.
Într-un litigiu, valoarea practică este de multe ori inversă celei așteptate: jurnalul protejează cel mai des instituția și funcționarul, nu îi incriminează. O afirmație că „nu s-a răspuns deloc” cade în fața unei înregistrări datate care arată altceva.
Cât se păstrează
Retenția uzuală este de 3 ani. Perioada trebuie să acopere intervalul în care o operațiune mai poate fi contestată sau verificată.
O regulă des ignorată: retenția jurnalului este independentă de retenția documentelor. Chiar dacă o lucrare a fost arhivată sau datele unui cetățean au fost șterse la cerere, consemnarea faptului că operațiunea a avut loc rămâne — fără a reintroduce datele șterse. Altfel, orice ștergere ar putea fi negată ulterior.
Nu este un instrument de supraveghere a angajaților
Această distincție este importantă și pentru relația din instituție, și pentru conformitate.
Jurnalul consemnează operațiuni asupra lucrărilor, nu comportamentul persoanei: nu urmărește cât timp a stat cineva în fața calculatorului, ce pagini a vizitat sau cât de repede tastează. Este o evidență a documentelor, nu o măsurătoare a oamenilor.
Practic, asta înseamnă că:
- accesul la jurnal este limitat — de regulă la primar și la secretarul general, nu la toți șefii de compartiment;
- consultarea lui are un motiv: o contestație, un control, o suspiciune concretă — nu curiozitate;
- angajații știu că există. Un mecanism de trasabilitate comunicat deschis descurajează mai mult decât unul descoperit accidental, și nu produce resentiment.
Cum verificați jurnalul unui furnizor
Cinci întrebări, de pus în scris, înainte de semnare:
- Ce tipuri de operațiuni se consemnează? (Cereți lista, nu o descriere generală.)
- Se rețin valorile anterioare la modificări?
- Poate cineva — administrator, furnizor — să modifice sau să șteargă o înregistrare?
- Cât timp se păstrează și ce se întâmplă după?
- Poate primăria să consulte și să exporte jurnalul singură, fără să îl ceară furnizorului?
În Edilo, jurnalul este imutabil prin construcție — nu există operațiuni de modificare sau ștergere asupra lui —, retenția este de 3 ani, iar primarul și secretarul general îl pot consulta și filtra direct din aplicație. Vedeți modulul de audit, articolul despre GDPR în primărie și măsurile de securitate descrise pe pagina de implementare.