监控系统闲置账号未及时注销整改措施

监控系统闲置账号未及时注销整改措施闲置账号是视频监控系统最大的隐性攻击面之一——离职人员、外包调岗人员的账号未注销，意味着系统权限仍然“活着”，其风险不在账号建立时暴露，而在人员流动后持续存在。本文档面向安防管理部门、信息运维组和各单位专责管理员，目标是把“发现闲置账号→冻结→注销→预防再发生”做成一条可核查、可追责、有闭环的整改链条，读者读完应当能够直接组织一次整改并建立长效机制。一、问题定义与整改目标1.1闲置账号的判定标准满足以下任一条件的监控平台账号，判定为闲置账号：•账号归属人已办理离职、调岗、退休、劳务合同终止手续，且人事系统状态已变更超过3个工作日；•连续90天（可按平台审计日志核实）无任何登录记录，且账号归属人所在岗位无节假日值守、远程抽查等合理使用需求；•账号归属人明确书面声明不再使用，或经电话/邮件核实（留痕）确认不再使用；•外包、驻场、施工单位的临时账号超过审批有效期7天仍未回收。不应仅凭“长期未登录”一刀切注销——保卫值班室的假日抽查账号可能低频但必须保留，判定必须结合人事状态与岗位需求双维度核对。1.2未及时注销的风险演化路径起因：人员离职或外包合同到期→传播途径：账号未随人事流程联动注销，仍保留原有权限等级→触发条件：账号密码泄露、被本人恶意使用、或被内外部攻击者通过弱口令/撞库获取→最终后果：实时调看敏感区域视频（财务室、危化品库、领导办公区）、导出录像、篡改录像存储策略掩盖违规行为、甚至关闭报警联动功能。一次完整的泄露事件往往只需要一个未注销账号和一次弱口令尝试。1.3整改目标与验收指标•存量清理：整改启动后15个工作日内，完成全平台账号盘点与闲置账号100%处置（冻结或注销）；•机制建立：整改启动后30个工作日内，上线“人事变动→账号处置”联动流程，处置时限锁定为3个工作日；•长效控制：此后每季度闲置账号数量不超过5个（新产生的应在3个工作日内闭环），超出即触发专项复查。二、组织分工与责任划分账号管理失效的根源通常不是技术问题，而是“人事知道人走了、运维不知道”。整改必须先钉死三方责任边界。角色责任内容时限要求未履行的后果人事部门员工离职/调岗生效当日，向信息运维组发送《账号处置通知单》（邮件留痕）当日由此产生的账号风险由发起延误方承担各单位专责管理员核对本单位账号清单，确认保留/冻结/注销意见并签字回传收到通知后1个工作日内逾期未回传视为同意注销信息运维组执行冻结/注销操作，更新《账号台账》，保留操作日志收到确认后1个工作日内（合计不超过3个工作日）纳入运维考核，单次延误扣分安防管理部门每季度组织账号专项审计，出具审计报告，通报超期未处置情况每季度末10个工作日内审计漏项由审计人负责成立由分管副总任组长的账号安全整改专项组（成员：人事、保卫、信息运维、法务各1人，名单见附件2），整改期间每周一召开30分钟例会，会后24小时内下发会议纪要并跟踪决议执行，全部整改完成后解散。三、存量账号清理（整改执行步骤）3.1全面盘点信息运维组在整改启动后5个工作日内，从监控平台导出全量账号清单（含账号名、归属人、权限等级、创建日期、最近登录时间、关联IP段），与人事部门提供的在职人员名单做交叉比对，生成三类清单：1.正常在用账号：归属人在职且近90天有登录；2.疑似闲置账号：归属在职但超90天未登录，或归属人状态待核实；3.确定闲置账号：归属人已离职/外包已到期，或经核实不再使用。盘点结果形成《监控系统账号盘点表》（样表见附件1），由运维组负责人签字确认，作为整改基线。3.2分级处置处置采取“先冻结、后注销”的两步法，严禁直接删除：1.确定闲置账号：立即禁用（冻结）账号并重置为随机密码；冻结满30天且无申诉的，正式注销并从平台移除账号记录，同时在台账中保留“已注销”归档条目（保留账号名、处置日期、经办人，不留密码）。◦为什么先冻结不直接删：冻结可保留审计日志的账号关联性，一旦期间发生违规调看，可追溯责任人；直接删除会导致日志中该账号行为无法归属。2.疑似闲置账号：由专责管理员在3个工作日内联系归属人核实；核实为闲置的按上一条处置，核实仍在用的由归属人提交书面使用说明（岗位、用途、频率），经单位负责人签字后保留，并在台账中标注“豁免账号”及复审日期（下一季度）。3.特权账号（系统管理员、可导出录像的账号）：无论闲置与否，整改期间一律执行密码重置，并按最小权限原则降级——能够看全网的账号压缩到3个以内，其余拆分为分区域查看权限。3.3清理验收整改完成后由专项组组织验收，验收判据全部量化：•平台账号总数与人事在职+豁免清单人数差值，等于豁免账号数，无其他差额；•随机抽取10个已注销账号尝试登录，全部失败；•审计日志中，整改期间无被冻结账号的登录尝试成功记录。任一项不通过，验收不通过，运维组在5个工作日内补充整改后重新验收。四、长效机制建设（防止回潮）清理只能解决存量，考核与流程才能压制增量。若只做一次清理而不建机制，6个月后账号数量会回到整改前水平——这是同类整改的普遍规律。4.1人事—运维联动流程将《账号处置通知单》纳入离职办理必备材料清单：人事部门在离职手续单中增设“监控平台账号处置”栏，运维组经办人签字确认后，离职手续方可办结。这样把账号注销从“事后想起来”变成“流程卡点”，不签不办结工资结算。4.2定期审计•每季度末，信息运维组导出最近90天登录日志，比对在职名单，输出《季度账号审计报告》；•每半年组织一次权限复查：核对每个账号的权限等级与岗位职责是否匹配，重点清理“权限升级后未回退”的账号；•每年组织一次弱口令专项检查：对全部在用账号执行密码策略核查（长度不低于12位、包含大小写字母与数字、不得与近3次密码重复），不合格账号强制3个工作日内改密，逾期自动冻结。4.3异常监测在平台侧开启以下告警（若平台不支持，作为平台升级需求列入下一年度预算）：•连续5次登录失败：锁定账号30分钟并短信告警运维值班人员；•已冻结/注销账号的登录尝试：实时告警并记录来源IP；•单账号单日导出录像超过20段或跨3个以上不相关区域调看：告警并由安防部门当日核实用途。五、应急处置发现闲置账号被异常使用时，按严重程度三级响应：级别判定标准启动权限处置原则Ⅲ级（一般）闲置账号出现登录尝试但未成功运维值班人员30分钟内确认账号已冻结，记录来源IP，周报汇总Ⅱ级（较大）闲置账号登录成功，或发现越权调看行为信息运维组负责人立即冻结账号，保全审计日志（不得清除），24小时内出具初步分析报告，通报安防部门Ⅰ级（重大）录像被删除/篡改、涉及敏感区域录像被导出外传、或确认存在内部违规分管副总2小时内隔离相关存储节点防止证据灭失，保全全部日志与录像副本，报法务与上级主管部门，视情况向公安机关报案所有级别的处置均须填写《账号安全事件处置记录表》（附件4），事件闭环后5个工作日内完成复盘，复盘结论纳入流程修订依据。六、培训与考核•培训：整改启动后10个工作日内，对全部专责管理员开展1次账号处置流程培训（2学时，含平台禁用/注销实操演示），培训后进行实操考核，不合格者补考，补考仍不合格的调整岗位；此后每年复训1次。•考核：将“账号处置及时率”纳入运维组月度考核指标，目标值100%；每发生一起超期未处置，扣减责任人当月绩效；每季度审计结果在全公司安全例会上通报。附件1：监控系统账号盘点及处置台账（样表）序号账号名归属人所属单位权限等级创建日期最近登录日期盘点分类处置措施处置日期经办人复核人1zhangm_sec01张某某保卫部区域查看2023-03-152025-06-02正常在用保留-2lisi_out李某（外包）某集成商系统管理2024-01-102024-12-20确定闲置冻结后注销3wangw_ofc王某某综合办区域查看2022-08-012025-01-15疑似闲置待核实附件2：整改专项组通讯录（样表）角色姓名部门/职务内线电话手机邮箱组长分管副总副组长安防部部长成员人事部主管成员信息运维组组长成员法务专员运维值班（7×24）值班岗附件3：账号处置通知单（样表）字段内容通知单编号人员姓名人员类型在职员工/离职/调岗/外包到期变动生效日期涉及系统及账号名视频监控平台：专责管理员核实意见保留（附书面说明）/冻结/注销专责管理员签字及日期运维执行人签字及执行日期处置完成确认（人事签收）附件4：账号安全事件处置记录表（样表）字段内容事件编号发现时间/发现人事件级别Ⅰ/Ⅱ/Ⅲ涉及账号及归属人事件经过（含来源IP、操作行为）处置动作及完成时间证据保全情况上报情况复盘结论及流程修订建议记录人