Workspace-auditlogs in BigQuery analyseren

Waarom auditlogs in BigQuery?

De Admin Console van Workspace biedt ingebouwde auditlogs, maar die hebben beperkingen:

• Beperkte bewaartermijn in de console (afhankelijk van het logtype en je licentie)
• Beperkte query-mogelijkheden
• Geen integratie met externe data

Met de BigQuery-export krijg je:

• Onbeperkte bewaartermijn (zolang je de data zelf opslaat)
• Volledige SQL-kracht
• Combineerbaar met andere bronnen (HR-systeem, ticketsysteem)
• Directe koppeling met Looker Studio

Export activeren

Activiteitslogs verschijnen meestal binnen tien minuten in BigQuery. Het serviceaccount gapps-reports@system.gserviceaccount.com moet daarvoor editor-rechten hebben op je BigQuery-project; dat regelt de Admin Console doorgaans automatisch bij het activeren.

Bij een verse activering exporteert Google vanaf het moment van configuratie. Wijzig je later van dataset of regio, dan kun je de bestaande activiteitsdata van de afgelopen 180 dagen laten meeverhuizen via de optie Backfill bestaande BigQuery-data van de afgelopen 180 dagen. Voor usage-data is dat venster 450 dagen.

Tabelstructuur begrijpen

De BigQuery-export maakt per dienst een aparte tabel. De exacte tabelnamen hangen af van je configuratie; de meest gebruikte zijn:

Elke tabel heeft een vergelijkbare opbouw: id, time, event_name, actor (wie de actie deed) en record_type/parameters met de details. Velden zoals actor.email en de parameters kunnen genest zijn, dus gebruik bij geneste JSON JSON_EXTRACT_SCALAR of de punt-notatie afhankelijk van het schema dat BigQuery voor jouw export aanmaakt.

Nuttige SQL-queries

Mislukte aanmeldingen de afgelopen 7 dagen

SELECT
  actor.email AS gebruiker,
  COUNT(*) AS mislukte_pogingen,
  MAX(time) AS laatste_poging
FROM
  `workspace_audit.login`
WHERE
  event_name = 'login_failure'
  AND DATE(time) >= DATE_SUB(CURRENT_DATE(), INTERVAL 7 DAY)
GROUP BY
  actor.email
ORDER BY
  mislukte_pogingen DESC
LIMIT 50

Bestanden gedeeld buiten de organisatie

SELECT
  actor.email AS gedeeld_door,
  JSON_EXTRACT_SCALAR(parameters, '$.doc_title') AS bestandsnaam,
  JSON_EXTRACT_SCALAR(parameters, '$.visibility') AS zichtbaarheid,
  time AS tijdstip
FROM
  `workspace_audit.drive`
WHERE
  event_name = 'change_document_visibility'
  AND JSON_EXTRACT_SCALAR(parameters, '$.visibility') IN ('people_with_link', 'public_on_the_web')
  AND DATE(time) >= DATE_SUB(CURRENT_DATE(), INTERVAL 30 DAY)
ORDER BY
  time DESC

Meet-gebruik per afdeling

Koppel Meet-data aan een afdelingstabel uit je HR-systeem:

SELECT
  m.actor.email AS gebruiker,
  h.afdeling,
  COUNT(DISTINCT JSON_EXTRACT_SCALAR(m.parameters, '$.conference_id')) AS vergaderingen,
  SUM(CAST(JSON_EXTRACT_SCALAR(m.parameters, '$.duration_seconds') AS INT64)) / 3600 AS uren_vergaderd
FROM
  `workspace_audit.meet` m
JOIN
  `hr_data.medewerkers` h ON m.actor.email = h.email
WHERE
  m.event_name = 'call_ended'
  AND DATE(m.time) BETWEEN '2026-01-01' AND '2026-12-31'
GROUP BY
  m.actor.email, h.afdeling
ORDER BY
  uren_vergaderd DESC

Looker Studio-dashboard op auditdata

Bouw een security-dashboard in Looker Studio op basis van je BigQuery-auditdata. Een logische opzet:

Pagina 1: Beveiligingsoverzicht

• Scorecards: aanmeldingen vandaag, mislukte pogingen, aanmeldingen vanuit onverwachte locaties
• Tijdreeksgrafiek: aanmeldingen per dag
• Tabel: gebruikers met de meeste mislukte aanmeldingen

Pagina 2: Data-deling

• Tabel: bestanden gedeeld buiten de organisatie (deze week)
• Grafiek: verdeling van deelmethodes (link, specifieke personen, openbaar)

Om kosten en snelheid te beheersen kun je in BigQuery vooraf samengevatte tabellen maken met Scheduled Queries en Looker Studio daarop laten draaien, in plaats van rechtstreeks op de ruwe logtabellen.