网络安全职责分离防串通吗

wen 网络安全 2026-07-03 151

本文目录导读：

网络安全职责分离防串通吗

这是一个非常专业且切中要害的问题,简短的回答是：职责分离（Segregation of Duties, SoD）本身无法完全防止串通，但它是对付串通最有效的结构性防御手段之一。

要理解这一点,我们需要从“职责分离”的设计初衷、“串通”的破坏机理，以及两者之间的博弈关系三个层面来分析。

职责分离的目的是什么？（不是直接防串通，而是防单点失陷）

职责分离的核心逻辑是 “最小权限原则” 和 “双人控制原则” 的结合，它的直接目的是：

防止单一权限过大： 避免任何一个个体拥有完成一项关键恶意操作（如：创建账号并打钱、提交代码并上线）的全部权限。
创造流程制衡： 将一项关键任务拆分为多个必须由不同人完成的步骤。
- A 提需求 → B 审批 → C 执行 → D 审计。
降低错误与舞弊风险： 即使某人无恶意，也可能因疏忽犯错，职责分离要求第二人复核，能有效拦截单人造成的破坏。

它的首要目标是消除“单点故障”和“单点腐败”。

串通（Collusion）是指两个或两个以上的人，为了共同利益，刻意合谋绕过既定的流程控制。

串通的本质： 它直接攻击了职责分离所依赖的 “不同人之间是相互独立、相互制约的” 这一假设，一旦两个人（或多个岗位）串通，原本分离的环节就变成了一个“逻辑上的同一个人”在操作。

维度	正面效果（压制作用）	局限性（无法防住的地方）
增加成本	串通需要至少两个人合谋，这极大地增加了沟通成本、信用风险和被发现的可能性，两个陌生人之间建立互信合谋远比一个人作案困难得多。	如果串通者是长期同事、利益关联体（如亲友），或对方承诺极高利益，信任成本可被覆盖。
增加痕迹	串通需要多方参与，必然在系统、流程、日志中留下更多可交叉验证的痕迹，审计时更容易发现异常（如：为什么A和C突然频繁私聊？）。	如果串通者经验丰富，且拥有系统的最高权限（如联合数据库管理员和日志管理员），他们可以主动毁灭或篡改证据。
阻断直接攻击	如果A想独自贪污，职责分离迫使A必须找到B合作，这提供了中间拦截机会（如B拒绝，或B举报）。	如果A和B是同一个人控制（如A离职后账号未被注销，B冒用其身份），则“物理串通”变成“逻辑串通”。
组织威慑	公司推行职责分离，本身就在传达一个信号：“我们不信任单个人，任何重大操作都必须有他人节制。” 这能震慑一些意志不坚定的人。	在面对高层管理者的系统性腐败（如CEO和CFO合谋）时，职责分离往往形同虚设，因为架构本身由其设计。

它能防住“无组织的单点腐败”和“偶然的、低成本的串通”。 对于大部分普通员工来说，为了额外利益去合谋同事，风险太高，收益不明，职责分离直接扼杀了这种念头。
它无法完全防住“有组织的、高信任度的、高阶权限的串通”。 比如三个关键岗位的人（系统、网络、安全）是一起喝酒的兄弟，或者高层合伙洗钱。