ابتدا رویداد مورد نیاز را مشخص کنید
فرض کنید شرکتی با چند منطقه می‌خواهد تعمیرات شبانه اتاق سرور را بررسی کند. در گزارش کنترل دسترسی، خروج فرد پیش از عملیاتی دیده می‌شود که دستگاه ثبت کرده است؛ زمان ویدئو نیز متفاوت است. این یک سناریوی فرضی برای طراحی پذیرش است و گزارش مشتری واقعی نیست. مرتب‌کردن زمان‌های نمایشگر می‌تواند ترتیب نادرستی بسازد. پیشنهاد مستقل JOTOglobal این است که ابتدا یک رویداد مجاز، سامانه‌ها، مکان‌ها، نقش‌های مسئول و محدوده سوابق مشخص شوند؛ سپس تفاوت منطقه زمانی نمایش، ساعت دستگاه و انتقال گزارش بررسی شود.
مسئول کسب‌وکار پرسش را تعیین می‌کند؛ برای نمونه، آیا تعمیرات در بازه تأییدشده انجام شده است. تیم فناوری اطلاعات فیلدهای زمان و وابستگی‌ها را توضیح می‌دهد و مسئول حفاظت، دسترسی مجاز به ویدئو و گزارش ورود را مشخص می‌کند. ترتیب مهم رویدادها، عدم قطعیت قابل قبول و مسئول پذیرش نتیجه باید از قبل توافق شوند. پس از مشاهده اختلاف، زمان دلخواه را انتخاب نکنید و فعالیت افراد نامرتبط را بررسی نکنید. اگر سوابق پاسخ کافی نمی‌دهند، نتیجه نامشخص پذیرفتنی است؛ خلأ شواهد با حدس پر نمی‌شود.
نمایش زمان را از خطای ساعت جدا کنید
در NIST SP 800-53 ویرایش پنجم، کنترل AU-8 به نمایش برچسب زمانی سوابق حسابرسی و دقت تعیین‌شده توسط سازمان می‌پردازد؛ SC-45 درباره همگام‌سازی ساعت سامانه است. این کنترل‌ها یک حد خطای واحد بر حسب ثانیه برای همه شرکت‌ها تعیین نمی‌کنند. فهرست، آزمون‌ها و تقسیم مسئولیت‌های زیر پیشنهاد اجرایی مستقل JOTOglobal هستند. حد قابل قبول باید با نیاز ارتباط‌دادن رویدادها و توان تجهیزات سازگار باشد. نمونه دقت در راهنما نه عملکرد اندازه‌گیری‌شده محصول است و نه الزام قانونی عمومی.
برای هر نوع سابقه، فیلد اصلی زمان، وجود یا نبود اختلاف با UTC، منطقه زمانی رابط نمایش و تبدیل‌های سکوی جمع‌آوری ثبت شود. یک لحظه می‌تواند با ساعت محلی متفاوت نمایش داده شود؛ بنابراین تفاوت نمایش لزوماً خطای ساعت نیست. یکسان‌بودن قالب نیز همگام‌بودن را ثابت نمی‌کند. زمان وقوع رویداد را از زمان دریافت در سکو جدا کنید و مقدار اصلی و مبنای تبدیل را نگه دارید. برای گزارش تاریخی فاقد منطقه زمانی، فقط تفسیر راستی‌آزمایی‌شده ثبت شود؛ منطقه زمانی رایانه فعلی نباید به‌طور پیش‌فرض جایگزین شود.
منابع زمان و رفتار هنگام قطع ارتباط را فهرست کنید
از یک زنجیره کسب‌وکار شروع کنید و منبع واقعی زمان سرور برنامه، تجهیزات شبکه، کنترلر دسترسی، سکوی ویدئو و جمع‌آورنده گزارش را فهرست کنید. مدیر سامانه مدرک پیکربندی ارائه می‌دهد؛ تیم عملیات وضعیت همگام‌سازی، آخرین موفقیت و اختلاف مشاهده‌شده را اضافه می‌کند. تصویر آدرس سرور تنظیم‌شده، موفقیت همگام‌سازی را ثابت نمی‌کند. دسترس‌پذیری خدمت، وضعیت فعلی و توان پایش قطع طولانی بررسی شوند. دستگاه‌ها فیلدهای وضعیت متفاوتی دارند؛ معنی هر فیلد باید در مدرک پذیرش توضیح داده شود.
سپس رفتار پشتیبانی‌شده در نبود منبع اصلی روشن شود: استفاده از منبع جایگزین تأییدشده، ادامه کار با ساعت داخلی و اصلاح اختلاف پس از اتصال مجدد. روش جابه‌جایی و اصلاح باید بر قابلیت مستند و آزمون کنترل‌شده متکی باشد؛ توان یکسان برای همه دستگاه‌ها وعده ندهید. محدودیت دستگاه قدیمی با اطلاعات وضعیت ناکافی ثبت شود و مسئول درباره مشاهده مستقل یا محدودکردن دامنه تصمیم بگیرد. برای پایان آزمون، منبع زمان تأییدنشده وارد محیط عملیاتی نکنید و مرزهای شبکه را غیرفعال نسازید.
زنجیره را با رویدادهای قابل تشخیص بیازمایید
با حساب‌ها و دستگاه‌های آزمایشی مجاز، در بازه توافق‌شده کارهای قابل تشخیص انجام دهید؛ مانند ورود آزمایشی، خواندن بی‌خطر پیکربندی و خروج عادی. شناسه ارتباط رویدادها حفظ شود. ناظر شروع و پایان را با یک زمان مرجع ثبت کند و مسئول گزارش، رکوردهای متناظر را بیابد. در صورت استفاده از کنترل دسترسی و ویدئو، مسئول محل نقاط آزمون و افراد را تأیید کند تا مناطق نامرتبط کنار بمانند. این‌ها نمونه طراحی هستند؛ پشتیبانی فنی و ایمنی محیط عملیاتی و فیزیکی باید پیش از انتخاب اقدام واقعی تأیید شوند.
زمان اصلی رویداد، زمان دریافت در سکو و زمان نمایش را جداگانه مقایسه کنید. اختلاف پس از تبدیل و بازه‌های نامعلوم ثبت شوند. خطای ساعت از تأخیر انتقال گزارش جدا بماند؛ دیر رسیدن رکورد، دیر رخ‌دادن عمل را ثابت نمی‌کند. اگر فاصله دو عمل از عدم قطعیت اندازه‌گیری‌شده کمتر باشد، باید صریحاً گفت ترتیب آن‌ها با اطمینان قابل تعیین نیست. محدوده، منبع مرجع، رکوردهای اصلی، مراحل تبدیل، اختلاف‌ها و هویت بازبین ثبت شوند تا فرد واجد صلاحیتی خارج از تیم پیاده‌سازی محاسبه را تکرار کند.
اختلال و بازیابی را در محیط آزمایشی بررسی کنید
در محیط جداشده، دسترس‌ناپذیری موقت یک منبع زمان را شبیه‌سازی کنید و تغییر وضعیت، هشدار، مسیر جایگزین و بازیابی را ببینید. شرایط توقف از قبل توافق شوند و احراز هویت عملیاتی، اعتبارسنجی گواهی و تردد فیزیکی محافظت شوند. اگر همگام‌سازی به راه‌اندازی مجدد نیاز دارد، بازه نگهداری، اثر کسب‌وکار و مسئول آن در برنامه بعدی ثبت شود؛ هنگام پذیرش، راه‌اندازی مجدد محیط عملیاتی را بداهه انجام ندهید. اگر شبیه‌سازی ممکن نیست، قابلیت را تأییدنشده علامت بزنید؛ وجود تنظیمات، مدرک بازیابی موفق نیست.
پس از بازگشت همگام‌سازی، همان آزمون رویداد تکرار شود تا ارتباط سوابق جدید با روش توافق‌شده بررسی شود. زمان‌های تاریخی و اختلاف شناخته‌شده همان دوره حفظ شوند؛ گزارش اصلی برای ساختن خط زمانی یکدست بازنویسی نشود. اگر دستگاه نمایش، نمایه یا قالب خروجی را تغییر می‌دهد، توضیح و نمونه قبل و بعد نگه داشته شود و مسئول شواهد روش جست‌وجوی بعدی را تأیید کند. برای سامانه‌های متأثر از تغییر فصلی ساعت در مناطق مختلف، قواعد و نمایش تاریخی در محیط کنترل‌شده آزموده شوند؛ یک موفقیت امروز صحت تمام سال را ثابت نمی‌کند.
کیفیت زمان را بخشی از عملیات روزمره کنید
در تحویل، مسئول کسب‌وکار دقت قابل پشتیبانی رویداد را می‌پذیرد، مسئول فناوری اطلاعات فهرست منابع زمان و پایش را می‌گیرد و مسئول حفاظت روش دریافت و مجوز شواهد را تحویل می‌گیرد. هر اصلاح باید اثر، مسئول، اقدام موقت و موعد آزمون مجدد داشته باشد؛ عبارت کلی «خدمت زمان سالم است» کافی نیست. پس از افزودن شعبه، تعویض دستگاه، انتقال سکوی گزارش یا تغییر قواعد منطقه زمانی، زنجیره مربوط دوباره آزموده شود. متناسب با قابلیت دستگاه، اختلاف پایدار و وضعیت همگام‌سازی نیز علاوه بر دسترس‌پذیری پایش شوند و آستانه‌ها با نیاز کسب‌وکار تعیین شوند.
یکسانی زمان، تفسیر ارتباط رویدادها را بهتر می‌کند اما به‌تنهایی اصالت، کامل‌بودن یا ارزش اثباتی قضایی یک سابقه را ثابت نمی‌کند. بررسی همچنان به منشأ سوابق، دسترسی مجاز، حفاظت از تمامیت و واقعیت‌های مرتبط محل نیاز دارد. رکوردهای مفقود و مناطق زمانی حل‌نشده باید در نتیجه آشکار شوند. از یک زنجیره مهم شروع کنید و دامنه را تدریجی گسترش دهید. خروجی، روش قابل تکرار برای حفظ اصل شواهد و توضیح تبدیل و عدم قطعیت است که نیروی جایگزین واجد صلاحیت نیز اجرا کند؛ مجموعه ساعت‌های ظاهراً مشابه روی نمایشگر کافی نیست.