带不出去的日志

一句话总结

在银行现场，拖慢调查的真正原因不是技术，而是网络隔离与数据导出管控。如果不以这些限制为前提设计调查方法，第一周就会全部浪费掉。

为什么需要它

照搬其他客户现场的做法，在银行工作的第一天几乎一定会碰壁。

"로그 좀 받아서 제 노트북에서 분석할게요"    → 반출 불가
"화면 캡처해서 슬랙에 올릴게요"              → 촬영·캡처 금지
"제 노트북 가져가서 붙일게요"                → 개인 기기 반입 불가
"인터넷에서 이 도구 받아서 쓰겠습니다"        → 업무망은 인터넷과 분리
"운영 DB 에 붙어서 조회해 볼게요"            → 운영계 직접 접근 불가

这并不是该客户格外苛刻，而是电子金融监管规定及相关指引所要求的控制措施。违反这些要求，银行会受到处罚。因此，这绝不是可以请求负责人“只通融一次”的事情。

它如何运作

FDE 需要了解的控制措施大致分为四类。

**网络隔离。**业务网络与互联网在物理上或逻辑上彼此隔离。业务网电脑无法访问外部互联网，互联网电脑也无法连接生产系统。因此，“上网搜索资料”和“查看系统”无法同时进行。工作时必须在两块屏幕之间来回切换；如果制定计划时不了解这一点，所需时间会达到预期的两倍。

**数据导出管控。**业务网络内的数据不能带到外部。如确需导出，必须经过审批流程，而该流程通常要花费数天。即使只是一份日志文件也不例外。

**访问控制与日志保留。**谁在何时查询了什么，都会被完整记录。访问生产数据通常需要审批，根本不存在无需审批即可连接的路径。访问记录的保留期限也由规定确定。

**账户隔离。**查询账户与变更账户不同，生产环境账户与开发环境账户也不同。调查过程中即使发现需要修复的问题，也无法使用当前账户进行修改。这不是不便，而是有意为之的设计。

实际工作中的表现

第一，不把调查原始结果带出去，而是在内部制作摘要。原始日志无法导出，但“几点几分出现了多少次哪种错误”这样的汇总信息可以导出。因此，银行现场的调查从一开始就必须朝着生成汇总结果的方向设计。把全部原始数据带出去以后再分析的计划根本无法成立。

第二，**提前列出所需内容并一次性申请。**无论是数据导出审批还是访问权限，每一项都可能耗费数天；边调查边逐项申请，一周很快就会白白过去。正确做法是在第一天尽可能完整地列出“本次调查所需内容”，一次提交申请。后来有些内容没有用到也没有关系。

第三，**借用客户负责人的屏幕进行查看的时间，才是真正的调查时间。**很多情况下我们无法直接连接，只能坐在负责人旁边，请对方“执行这条查询”。对方的时间并不属于我们，每天可能只有一两个小时。如果不预先写好要在这段时间查看什么，最终会一无所获。

第四，必须在报告中注明无法取得的内容。“因无法查看日志而作出推测”与“查看日志后得到以下结果”，其结论的可信度不同。如果受限制而未能确认，却写得像已经确认过一样，那么结论出错时就等于我们撒了谎。记录限制条件不是找借口，而是准确说明结论的依据。

下一篇理论将检查什么

下一篇将讨论调查过程中看到个人信息时，报告中哪些内容可以写、哪些内容不能写。