账号权限如何定期复核

wen 网络安全 2026-06-27 30

本文目录导读：

账号权限如何定期复核

账号权限的定期复核是保障数据安全和合规性的关键环节,其核心目标是确保“最小权限原则”（PoLP）被持续执行，并及时清理僵尸账号、权限滥用或误配问题。

以下是实施账号权限定期复核的全流程方案，涵盖了制度、流程、技术工具和频率四个维度。

核心原则与频率建议

原则：按最小必要权限分配，按角色而非个人管理。
频率建议：
- 关键系统（核心数据库、财务系统、生产环境）：每季度一次。
- 普通业务系统（CRM、OA）：每半年一次。
- 高敏岗位（DBA、超级管理员）：每月甚至每周由直属上级复核。
- 特殊触发：员工离职、转岗、系统架构变更时，立即启动临时复核。

一个典型的权限复核周期包含以下5个步骤：

这是最基础也最容易出错的一步,你需要自动化导出，而非人工收集。

工具：
- IAM系统或AD域控：直接导出用户、组、权限属性。
- 数据库：SELECT语句查询角色与用户映射表。
- 云平台（AWS/Azure/阿里云）：利用IAM Access Analyzer或权限审计报告。
输出物：一份包含 员工姓名 | 账号状态 | 所属部门 | 权限角色 | 最后登录时间 的表格。
踩坑提示：必须包含“最后活跃时间”，大量长期未登录的账号即使拥有权限，也应标记为待清理。

将生成的清单分发给业务部门负责人和IT负责人。

操作方法：
1. 通过OA系统或ITSM（IT服务管理）工单发起“××系统季度权限复核”。
2. 关键：要求各部门负责人逐行确认（例如在Excel中加入“确认/驳回/修改建议”列）。
常见问题：如果发一张总表让负责人看，99%的人会直接签字通过，你需要在表格中用高亮色标出可疑项（跨部门权限、已离职员工、近3个月未登录的僵尸号）。

这个环节往往会出现争议,“这个临时账号的权限到期了，但业务说还要用”。

最佳实践：采用“临时授权”策略。
- 如果确认需要延长,审批人需填写“到期日期”（再延1周），系统到期后自动回收权限。
- 如果业务方无法确认是否还需要该账号（外包人员已离场但未通知），回收账号（禁用而非删除），保留数据30天。
必须清理的账号：
- 离职、转岗未交接的账号（必须立即回收）。
- 共享账号（原则上禁止，如无法避免，需绑定责任人和月改密码策略）。

审批通过后,IT团队或安全团队需在系统中执行具体操作。

操作要点：
- 禁用：对于可能复用的账号，先禁用（Disable）而非删除（Delete）。
- 回收：移除多余角色或特定的增/删/改权限。
- 日志：保留所有变更操作日志（Who changed What at When）。
自动化工具：如果系统支持，建议编写脚本或使用CMDB（配置管理数据库）联动，实现“审批通过后自动回收”。

所有操作完成后,输出正式报告并归档。

身份治理与管理（IGA）类：
- SailPoint / Okta / OneLogin（企业级、贵，适合大公司）。
- Azure AD P2 / AWS IAM（云原生，较灵活）。
小型团队/初创公司：
- Excel + 邮件（简单，但人为出错风险高）。
- Zoho Vault 或 Bitwarden企业版（可管理密码和权限并审计）。
自建方案：编写Python脚本，定时从数据库LDAP或系统API拉取权限清单，自动比对，并发送邮件给负责人确认。

避免“一锅端”：不要一次性对全公司所有系统的权限进行复核，会导致业务瘫痪，建议分批进行（先核心系统，后外围系统）。
避免“只复核不整改”：很多公司复核后只做记录，未执行回收操作。没有收回的权限等于没有复核。
避免“误解共享账号”：不允许使用共享账号（如admin、root），必须做到“一人一账号”，如果因历史原因存在，复核时必须制定替换计划。
法律合规：如果公司涉及GDPR、SOX、等保2.0或HIPAA，权限复核记录必须作为审计证据完整保存，否则罚款或通报时无法证明你有做。

一句话总结：建立周期、生成清单、明确责任人、执行回收、保留记录，不要怕麻烦——越大的公司，一个“未回收的离职管理员账号”往往就是数据泄露的源头。