广电播出系统权限审计管理指南

广电播出系统权限审计管理指南一、适用范围与核心原则权限审计是阻断越权操作、防范播出内容安全与信号传输事故的核心管控手段，不存在“一次审计终身合规”的侥幸空间。

本指南适用于各级广播电视台、融媒体中心、有线/无线传输发射台站所有涉及广播电视信号播出、内容上载、编单排单、系统配置的软硬件系统，覆盖范围包括但不限于总控播出系统、硬盘播出系统、备播系统、融媒体播出调度系统、字幕插播系统、广告插播系统、信号传输监控系统，以及配套的服务器、数据库、网络设备、存储设备的账号与权限管理。

权限审计工作必须严格遵守四项核心原则：1.最小权限原则：每个账号的权限边界必须精确到具体操作项（如“仅可审看新闻类成片，不可修改播表”），除2个应急备岗账号（双人双锁管控）外，严禁为任何账号配置“全模块可读可写”的超级管理员权限。2.双人制衡原则：权限申请、审批、配置、审计四个环节的责任人不得重叠，严禁出现“同一个人既审批权限、又配置权限、还审计权限”的监管真空。3.全周期留痕原则：所有权限变动、高风险操作必须留存在不可篡改的日志中，日志留存时间不得少于180天，满足等保2.0三级系统与《广播电视安全播出管理规定》（广电总局62号令）的追溯要求。4.逢变必审原则：系统版本升级、人员岗位调整、第三方人员进场、应急处置结束后，必须在规定时限内完成对应范围的权限审计，不得等待固定审计周期集中排查。二、组织架构与责任划分权限审计的责任不能全部压在一线系统管理员身上，必须建立跨部门制衡机制，从根源上避免“自己配权限、自己审自己”的形式主义问题。

各单位必须成立专职权限审计工作组，成员配置与责任边界如下：•工作组组长：由分管技术安全播出的副台长/副站长担任，在每次审计工作启动前1个工作日签批审计计划，审计结束后3个工作日内签批审计报告与整改通知书，对重大权限隐患的整改负领导责任。•安播部专职审计员：为审计执行主体，必须独立于技术运维团队（不得由系统管理员、账号配置岗人员兼任），负责制定审计计划、执行权限核查、出具问题清单、跟踪整改验收；每年必须参加广电行业安全审计培训不少于8学时，掌握播出系统权限漏洞排查的专业技能。•技术运维部账号配置岗：仅可根据审批完成的权限申请单配置账号，收到审计发现的超权、错配问题后，必须在规定时限内完成权限调整，调整后1个工作日内将调整记录反馈审计员；严禁私自为任何人员开通未经审批的权限，私自开通权限造成播出事故的，按安播责任事故认定规则追责至岗到人。•人力资源部对接人：必须在人员调岗、离职的人事流程发起当天，将人员变动信息同步至审计工作组；离职人员账号留存超过24小时未禁用视为一般安全隐患，超过72小时未禁用视为严重安全隐患。•纪检监察部监督员：负责监督审计全流程的公正性，对审计中发现的私自越权、瞒报隐患、整改不力的问题介入调查，每半年抽查不少于20%的审计记录与权限配置记录。•第三方服务商对接人：负责提交本单位驻场人员的权限申请，配合审计核查，驻场人员离场当天必须通知账号配置岗禁用对应账号；第三方人员账号必须设置30天强制密码更换周期，严禁设置永久有效期。三、审计周期与触发条件固定周期审计仅能覆盖常规性、累积性权限风险，突发性、变动性的权限隐患必须通过触发式即时审计排查，绝不给违规操作留时间窗口。3.1固定周期审计要求•月度审计：针对高风险权限（超级管理员、播表修改、内容审核、字幕插播、信号切断、日志删除权限），每月最后2个工作日由审计员完成100%核查，产出月度高风险权限核查表。•季度审计：针对系统所有账号（含运维账号、第三方账号、临时账号），每季度第3个月的25日-30日完成全量核查，账号覆盖率100%，出具季度权限审计报告，报台安播领导小组。•年度审计：结合等保2.0三级测评与广电总局年度安播检查，每年12月中旬完成全系统权限梳理与权限基线更新，形成年度权限合规报告，上报属地广电局安播管理部门。3.2触发式即时审计要求出现以下情况时，必须第一时间启动专项审计，严禁以“未到固定审计周期”为由拖延：1.人员变动触发：收到员工离职、调岗、第三方驻场人员离场通知后2小时内，完成对应账号的权限核查与禁用，核查结果签字留痕。2.系统变更触发：播出系统版本升级、模块新增、网络架构调整完成后24小时内，完成新模块的权限配置核查，重点排查升级后默认开放的高风险权限（如升级程序默认给所有运维账号开放播表修改权限的常见漏洞）。3.事件触发：发生播出异态、违规操作告警、疑似账号泄露事件时，15分钟内启动涉及范围的权限审计，排查是否存在越权操作、账号盗用情况，审计结果作为事件处置的核心依据。4.举报触发：收到违规操作、越权插播内容的举报后1小时内，启动对应系统、对应时段的权限操作日志审计，核查操作人身份与权限合规性。四、审计核心内容与核查判据权限审计不是简单统计账号数量，必须逐账号、逐权限项对照基线核查，重点排查“系统默认开放、权限溢出、隐性超权”等常规检查容易漏掉的风险点。

审计工作启动前，审计组必须先依据岗位说明书、安播规定、等保要求制定本单位的《权限基线对照表》（模板见附件1），所有核查工作对照基线开展，无基线依据的权限一律视为不合规。4.1账号生命周期合规性核查1.僵尸账号排查：逐账号核对最后登录时间，超过90天未登录的非应急备岗账号判定为僵尸账号，必须立即禁用。风险演化路径：僵尸账号长期未使用→密码长期未更换（多为初始密码或弱密码）→被暴力破解或通过暗网泄露→攻击者远程潜伏登录→修改播表、插播非法内容→造成重大安播事故。2.账号有效期核查：临时账号（用于临时保障、第三方调试、应急演练）有效期最长不得超过7天，到期自动失效；第三方驻场人员账号有效期最长不得超过90天，到期重新走审批流程续期；除2个应急备岗账号外，严禁为正式员工账号设置永久有效期。方案分层要求：优先在系统侧配置账号自动到期策略；若老旧播出系统不支持自动到期功能，审计员必须建立临时账号台账，到期前1小时手动通知配置岗禁用；严禁为临时账号配置播表修改、信号切换、字幕插播高风险权限，确因调试需要开放的，必须由安播部专人全程旁站，调试结束立刻收回权限。3.共享账号排查：所有账号必须实名认证到具体自然人，做到“谁登录、谁操作、谁负责”，严禁存在多人共用的通用账号（如admin、bofang等无明确归属的账号）。风险演化路径：共享账号无明确操作主体→出现违规操作无法追溯责任→操作人员因无追责约束随意操作甚至恶意操作→事故发生后无法快速定位责任人、延误处置。老旧系统确实无法删除默认超级管理员账号的，必须将密码修改为16位以上强密码（含大小写、数字、特殊字符），由两名管理人员分别保管密码的前8位与后8位，仅在系统崩溃、主账号失效的应急场景下，两人同时到场方可登录使用，使用后24小时内必须修改密码，同步记录使用时间、使用人、操作内容。4.密码策略核查：普通账号密码长度不小于10位，每90天更换一次，禁止重复使用最近5次的历史密码；超级管理员账号密码长度不小于16位，每30天更换一次，更换时由审计员在场见证；严禁在个人电脑、公共终端上勾选“记住密码”选项保存播出系统登录凭证。4.2权限配置合规性核查1.三分离要求核查：所有系统必须严格落实三类权限分离，未达要求的直接判定为重大隐患：■内容上载权限与内容审核权限分离：同一账号不得同时拥有上载播出内容、审核自有上载内容通过的权限，必须由两个不同岗位人员分别操作，避免单人即可上传非法内容并通过审核进入播出链路。■播表编辑权限与播表发布权限分离：同一账号不得同时拥有修改播出串联单、直接发布播表到播出服务器的权限，必须经过编单岗编辑、值机岗核对、播出主管审批三级流程方可发布。■运维配置权限与审计日志权限分离：系统管理员不得查看、导出、修改审计日志，审计员不得直接配置系统权限，避免管理员违规操作后删除日志掩盖痕迹。2.最小权限核查：逐账号核对权限项，确保权限范围与岗位职责完全匹配，重点纠治“领导账号配操作权限、运维账号配播出权限、值机账号配配置权限”的常见问题：■值机岗：仅可查看播出信号状态、查看当前播表、触发预设应急切换按钮（如切备路信号），不可修改播表、上载内容、修改系统参数。■编单岗：仅可编辑对应负责节目的播表（新闻类播表由新闻中心专人编辑），不可直接发布播表，不可修改播出服务器文件。■运维岗：日常巡检时仅可查看系统运行状态、查看日志，不可修改播表、操作播出切换开关；需要系统维护时必须申请临时运维权限，维护期间由安播人员旁站，结束后立刻收回权限。■管理岗：仅配置播出状态只读查看权限，严禁配置修改、发布、信号切换类操作权限，避免非专业人员误操作引发停播。3.高风险权限核查：逐一登记持有字幕/广告插播、播表发布、信号切换、用户权限配置、日志删除高风险权限的账号，核对每个账号的审批文件，单频道同类型高风险账号数量不得超过实际岗位需求（主岗+备岗共2个）；所有高风险权限操作必须配置Ukey+短信验证码双因素认证，禁止无验证直接操作。4.数据库与底层权限核查：必须将数据库、网络设备、存储设备的账号纳入审计范围，应用系统连接数据库的账号仅可拥有对应业务库的业务读写权限，严禁授予删表、改表结构、跨库访问权限；数据库超级管理员账号（root、sa等）必须双人双锁保管，严禁应用系统直接使用超级管理员账号连接数据库。风险演化路径：应用系统使用数据库超级管理员账号→应用存在漏洞被攻击→攻击者直接获取数据库最高权限→批量篡改播出内容、删除数据→全系统瘫痪。5.远程访问权限核查：所有远程访问播出系统的行为必须通过台内自建VPN通道，配置双因素认证，远程访问会话全程录屏；优先使用自建VPN开展远程运维；若应急场景下需要使用第三方远程工具，必须经安播部审批、断开非必要网络连接、全程旁站操作，结束后立刻卸载工具并修改密码；严禁私自安装向日葵、TeamViewer等第三方远程工具直接连接播出服务器。4.3操作日志合规性核查1.日志完整性核查：检查系统日志是否覆盖所有权限相关操作，包括账号登录、权限修改、播表调整、内容上载、信号切换、日志删除操作，每条日志必须记录操作人账号、操作时间、操作源IP、具体操作内容、操作结果，缺少任意一项的判定为日志配置不合规，3个工作日内完成调整。2.异常操作排查：每次审计必须抽查最近30天的高风险操作日志，重点排查非工作时段（22:00-次日6:00）的播表修改操作、来自非办公网段的登录操作、连续5次以上密码错误的登录尝试、短时间内批量修改文件的操作、日志删除操作，发现异常立刻追溯操作人，核实操作审批记录与操作人身份。3.变更记录核查：核对每一次权限调整的记录，确认有完整审批流程（申请人申请→部门主任审批→安播部审核→配置岗配置），无审批单的权限调整一律判定为私自操作，立刻收回权限并追责。五、标准化审计执行流程权限审计必须按闭环流程执行，全程留痕、责任到人，杜绝“看人情、走形式”的弹性操作，确保每个问题都能追溯根源、整改到位。1.审计准备阶段（审计启动前1个工作日）审计员根据审计周期或触发事件明确本次审计的范围（涉及系统、账号、权限项），准备对应权限基线表、账号台账、上次审计问题整改清单，报工作组组长审批；常规审计提前1个工作日通知相关部门配合，事件触发的应急审计不提前通知，直接进场核查，避免相关人员提前调整权限、删除日志掩盖问题；审计员使用独立的只读审计账号开展工作，严禁使用可修改配置的管理员账号进行审计操作，避免误改系统配置。2.现场核查阶段从每个系统的用户管理模块导出全量账号清单，与人力部门提供的在岗人员清单、第三方提供的驻场人员清单逐一比对，排查“幽灵账号”、已离职未注销账号；导出每个账号的实际权限配置，与权限基线逐一比对，标记超权、错配、权限不足的账号；按要求抽查操作日志，固定异常操作的截图、日志记录；在备系统或非播出时段（凌晨检修窗口）验证高风险权限的实际范围，排查“配置界面显示无权限、实际操作可越权”的权限溢出漏洞；严禁在黄金播出时段（18:00-23:00）在主播出系统上开展权限测试，避免误操作引发停播。3.问题定级与清单编制阶段核查结束后2个工作日内，审计员编制问题清单，按严重程度对问题分级，禁止使用“权限不合规”等模糊描述，每个问题必须明确涉及系统、账号、具体违规事实、风险等级、整改时限、整改责任人。分级标准为：■重大隐患（红色）：存在无实名认证的共享超级管理员账号、离职人员账号超过72小时未禁用、未落实三分离要求导致单人可完成内容上载到播出全流程、日志被删除无法追溯、非授权人员持有字幕/广告插播权限。此类隐患发现后1小时内必须完成临时管控（先行禁用可疑账号）。■较大隐患（橙色）：临时账号超期未禁用、僵尸账号超过30天未清理、权限配置超出岗位职责但不涉及高风险操作、日志留存时间不足180天、高风险操作未配置双因素认证。此类隐患整改时限不超过24小时。■一般隐患（黄色）：账号密码更换周期不符合要求、权限台账记录不全、审计记录签字不全、终端保存播出系统登录密码。此类隐患整改时限不超过3个工作日。4.整改与验收阶段问题清单经工作组组长签批后下发至整改责任人，重大隐患第一时间口头通知，随后补书面整改通知书；整改责任人在规定时限内完成整改，填写整改反馈单并附整改截图、记录，报审计员验收。权限调整前必须备份全量权限配置表，调整后会同岗位人员在备系统验证操作功能，确认不影响正常播出后再在主系统生效；若调整后出现权限不足影响操作的情况，配置岗必须在10分钟内恢复岗位必要操作权限，重新核对基线后再调整，避免因权限调整造成操作延误。审计员收到整改反馈后必须现场核查整改实效，确认问题闭环后方可销号，严禁仅凭整改报告直接销号；逾期未整改的，每逾期1天扣发整改责任人当月绩效5%，逾期超过3天的由纪检监察部门约谈，因逾期未整改造成播出事故的按安播事故规定追责。5.复盘优化阶段每季度审计完成后，工作组召开1次复盘会，分析共性问题的根源（如系统默认权限漏洞、审批流程缺失、新员工入职权限配置超标），更新权限基线，推动技术手段优化管控（如配置账号自动到期、日志防篡改、异常操作自动告警），避免同类问题反复出现。六、特殊场景审计管控要求日常运维场景的权限管控规则相对成熟，应急保障、重大活动、第三方运维等特殊场景最容易出现“特事特办突破底线”的漏洞，必须执行比日常更严格的审计标准。6.1重大播出保障期审计要求•重大保障期（中央重要会议、重大活动、春节等按广电总局通知划定的保障时段）启动前3天，必须完成全系统全量权限审计，清理所有临时账号、僵尸账号，收回非必要高风险权限，审计报告报属地广电局安播部门备案。•保障期间严禁新增高风险权限账号，确因应急需要新增的，必须由分管副台长签字审批，保障期结束后2小时内收回。•保障期间审计员每日核查一次高风险权限操作日志，发现异常操作立刻触发应急预案，核查周期从月度调整为每日。6.2第三方人员权限审计要求•第三方人员（设备厂商运维、系统集成商、外包人员）账号必须单独建台账，账号名标注所属单位+姓名（如“XX公司-李某某”），禁止使用私人邮箱、手机号注册账号，统一用工号管理。•第三方人员默认仅授予只读查看权限，需要操作配置的必须申请临时权限，有效期最长不超过24小时，操作时由本台运维人员全程旁站，禁止第三方人员单独进入播出机房操作设备、登录系统。•严禁将系统超级管理员账号直接交给第三方人员使用，确因排障需要使用超级管理员权限的，由本台管理员登录系统，第三方人员旁站指导操作步骤，操作全程录屏，日志单独存档。6.3应急场景权限审计要求•播出应急处置时（如信号中断、服务器故障需紧急操作），可启用应急备岗超级管理员账号缩短处置时间，但处置结束后1小时内，审计员必须核查应急操作全流程日志，核对操作内容是否确为应急所需，是否存在借应急名义操作无关内容的情况，记录应急操作原因、操作人、操作时间、操作结果并存档。•严禁以“应急”为借口，在非应急场景使用超级管理员账号开展日常运维，发现一次按较大隐患追责。七、审计档案与日志管理审计档案与操作日志是播出事件追溯、责任认定的核心法定依据，必须满足不可篡改、可回溯、留存时长达标的硬性要求，严禁出现“出了问题查无记录”的情况。•所有审计资料（审计计划、账号清单、权限核查记录、问题清单、整改通知书、整改反馈单、验收记录、审计报告、日志抽查记录）必须以电子档+纸质档两种形式存档，纸质档由审计员、工作组组长签字后存入安播部专用档案柜，电子档加密存储在专用审计服务器，备份不少于2份。•常规审计档案保存期限不得少于3年，涉及重大播出事故、违规事件的审计记录必须永久保存。•查阅审计档案必须经工作组组长审批，登记查阅人、查阅时间、查阅用途，严禁私自复制、传播审计档案内容，避免泄露系统账号、权限配置等敏感信息。•审计日志必须配置写保护机制，仅允许日志写入操作，禁止删除、修改已存储的日志条目，从技术层面防范日志篡改风险。八、能力建设与考核问责权限审计的有效性最终取决于执行人员的专业能力与规则意识，必须通过常态化培训、刚性考核问责，避免制度停留在纸面、执行打折扣。•新员工入职时必须接受不少于4学时的播出系统权限管理培训，考试80分以上方可申请对应岗位的系统账号，未参加培训或考试不合格的不予开通任何系统权限。•每季度组织一次系统管理员、审计员、值机人员的权限管理培训，内容包括本指南要求、最新安播规定、典型权限事故案例，培训后组织考试，不合格的暂停系统操作权限，补考合格后方可恢复。•每年组织1次权限管理应急演练，模拟账号被盗、越权操作、日志被删的场景，检验审计员的排查处置能力，演练时长不少于2小时，演练后形成报告优化审计流程。•将权限审计隐患整改完成率、重大隐患发生率纳入各部门安播考核指标，年度内未发生重大权限隐患、整改完成率100%的部门给予年度安播奖励；年度内出现2次以上重大权限隐患，或因权限问题造成播出事故的，取消部门年度评优资格，相关责任人按安播事故处理规定追责。附件1：广电播出系统权限基线对照表（模板）系统名称岗位名称允许操作权限项禁止操作权限项账号数量上限二次验证要求总控播出系统值机岗查看信号状态、查看实时播表、触发预设应急切换修改播