办公系统权限审计检查表

办公系统权限审计检查表一、审计目的与适用范围权限审计不是简单的账号盘点，而是切断系统内部越权操作与数据泄露风险的最后防线。本检查表适用于企业内部OA、ERP、HR、财务及协同办公系统的权限审计工作，旨在通过标准化动作发现僵尸账号、越权赋权、职责不分离等隐患，满足《中华人民共和国网络安全法》及等保2.0关于访问控制与审计的合规要求。二、审计前准备审计数据的真实性决定后续所有整改动作的有效性，必须阻断被审计方篡改后台数据的可能。审计人员必须在动手前锁定审计基准时间点与数据提取方式。1.账号权限快照提取：审计专员必须于审计基准日10:00前，通过系统数据库只读账号或标准API导出全量账号数据。严禁要求系统管理员截图提供（截图无法防篡改且难以批量比对）。导出字段必须包含：用户ID、姓名、所属部门、角色列表、账号状态、最后登录时间、创建时间。2.业务基准数据对齐：审计专员需向人力资源部获取基准日09:00的《全员在职状态表》，作为后续判断僵尸账号的基准比对库。两份数据的时间差必须控制在1小时内，防止因人员调动产生误判。3.审计环境隔离：严禁在生产环境直接执行复杂关联查询。必须将脱敏后的权限数据与HR数据导入独立的审计工作台（如受控的Excel或审计软件）进行交叉比对。若数据量超过10万条，应当使用Python脚本进行自动化比对。三、权限审计核心检查项以下检查项是权限审计的实质防线，必须逐条核对底层逻辑与实际配置，不能仅凭系统界面的功能开关状态下结论。3.1账号生命周期与实名制审计幽灵账号是黑客驻留与企业内部舞弊的常用跳板，必须通过物理属性与逻辑属性的交叉验证予以清除。•实名制穿透核对：将系统账号表与HR在职表通过「身份证号」或「员工工号」进行哈希比对。■错误后果：若仅比对姓名，遇到同名同姓或故意构造的近似名（如ZHANGSAN与ZHANGSHAN）将发生漏判，导致账号无法追溯至真实自然人。■异常处置：发现无对应HR档案的账号，必须立即将账号状态变更为「冻结」，并向账号所属部门负责人发送确认工单，要求72小时内提供补充证明；逾期未提供合理业务理由的，由审计部发文直接执行硬删除。•僵尸账号清理审计：以「最后登录时间」为标尺，排查超期未登录账号。■怎么做：筛选最后登录时间距审计基准日超过90天的活跃账号（休假、产假员工需HR提供名单豁免）。■处置原则：超过90天未登录的普通员工账号，冻结前端登录权限，保留历史数据记录；超过180天未登录的，必须收回所有业务系统授权并释放许可证书（License）。•离职交接阻断审计：核对离职人员的权限注销时效。■风险演化路径：HR系统办理离职→办公系统未联动停用→离职人员仍可使用原VPN凭证接入内网→下载核心客户名单或篡改历史数据。■检查方法：抽取过去30天内离职的20名员工清单，核查其在OA、ERP系统的实际停用时间。HR流程结束与各办公系统账号停用的时间差必须≤43.2权限分配与职责分离（SoD）审计权限分配的核心不是「谁能用什么功能」，而是「谁不能同时拥有导致风险发生的两个功能」。职责不分离将直接导致资金流失与数据篡改。•高违权限冲突矩阵检查：调取系统角色权限映射表，比照以下核心冲突矩阵进行排查：■财务模块：创建供应商主数据角色与发起付款审批角色必须互斥。若同一账号同时拥有这两项权限，操作者可自建虚假供应商并完成资金支付闭环。■采购模块：采购订单创建角色与入库确认角色必须互斥。■HR模块：薪资标准维护角色与薪资核算发放角色必须互斥。■异常处置：发现冲突赋权，必须在2小时内剥离其中一项高风险权限（优先保留流程发起权限，剥离审批或确认权限），并追溯该账号过去6个月内的相关业务操作日志，核查是否已发生实质性越权操作。•超级管理员权限制衡审计：检查系统最高权限的分配与使用情况。■怎么做：核查系统是否存在共用root/admin账号。必须实施「一人一号」的特权账号实名映射。检查特权账号的操作日志，确认是否存在使用特权账号进行日常业务审批或数据查询的行为。■风险机理：特权账号绕过所有业务逻辑校验，若用于日常业务，一旦账号凭证泄露，攻击者可直接获取系统底层控制权，且无法在应用层留下有效操作主体追溯信息。■阻断要求：特权账号仅可用于系统运维与故障恢复。日常业务操作必须使用具名普通账号。发现违规使用，封停该特权账号24小时并强制重置密码。3.3特权账号与远程访问审计网络边界已被打破，远程访问与特权操作是黑客从外部突破内网系统的最短路径。•堡垒机强制拦截审计：核查所有SSH/RDP协议访问是否强制经过堡垒机代理。■检查方法：登录数据库服务器与应用服务器，审查系统安全日志中的源IP列表。若发现存在非堡垒机IP直接登录数据库（如数据库管理员通过个人PC直连数据库执行SQL），判定为重大违规。■风险演化：直连行为绕过了堡垒机的命令拦截与录像审计→管理员误执行DELETE语句无回滚机制→核心业务表数据丢失且无法追溯操作者。■处置原则：立即修改数据库监听配置，仅允许堡垒机IP访问；对直接操作者进行违规通报，并审查其操作时段的数据库binlog恢复数据完整性。•多因素认证（MFA）落地审计：验证远程接入与核心系统登录的二次验证有效性。■怎么做：审计人员需实际抽取5个不同层级的账号进行登录测试。仅输入静态密码登录成功，判定MFA未生效或存在绕过漏洞。必须验证动态口令（OTP）或硬件令牌的强制校验逻辑在服务端执行，而非仅在前端页面弹窗。四、异常判定与处置流程审计发现的问题必须按风险等级实行差异化管理，不能搞一刀切，避免低风险问题占用大量应急资源，导致高风险漏洞处置延迟。4.1一级风险：重大违规与数据泄露隐患必须具备阻断与溯源双重机制，任何延迟都将导致风险扩散。•判定标准：存在越权获取核心商业机密的记录；特权账号非授权外泄；离职超24小时账号仍在使用；职责严重冲突账号已发生资金或订单操作。•启动权限：审计部部长直接指令，同步报告CISO与业务分管副总。•处置原则：审计部下发《紧急权限阻断通知书》，系统管理员必须在15分钟内冻结相关账号的全部权限。同步保全最近30天的完整操作日志导出为只读文件。业务部门需在24小时内启动业务损失全面复盘。4.2二级风险：权限控制缺陷与僵尸账号属于管理漏洞与合规性缺失，需限期闭环。•判定标准：离职4~24小时内未停用的账号；最后登录超90天的僵尸账号；普通员工持有非本部门业务模块的高级查询权限。•启动权限：审计专员下发《权限整改工单》。•处置原则：责任系统管理员需在3个工作日内完成权限收回或账号清理，并在工单内上传系统修改前后对比截图。审计专员于第4个工作日进行复测，复测不通过自动升级为一级风险。4.3三级风险：日志审计缺失与策略配置不规范属于系统健壮性隐患，需纳入常态化运维优化。•判定标准：系统未开启登录失败日志记录；密码策略未设置复杂度与强制过期天数；非关键业务系统账号未实施实名制。•启动权限：审计专员登记《审计发现问题台账》。•处置原则：责任部门需在15个工作日内提交《系统配置优化计划》，明确修改代码或配置项的责任人与上线时间节点。审计部按计划节点进行验收检查。五、审计证据留存与报告出具审计底稿是追责与免责的唯一法律依据，必须满足防篡改、可重算、可追溯的司法存证标准。•证据哈希固化：所有从数据库或后台导出的CSV、Excel原始数据，必须在导出后1小时内计算SHA-256哈希值，并记录在《审计证据哈希台账》中。报告出具前需重新计算文件哈希，确保数据未被中间篡改。•截图防伪标注：所有系统后台配置截图、操作日志截图，必须包含系统右下角的全局时间戳（精确到秒），并在截图边缘标注审计人员姓名、取证时间、取证系统URL。•报告闭环结构：《办公系统权限审计报告》必须包含：审计范围说明、数据采集方法与哈希值、问题分类汇总表（按一/二/三级风险降序排列）、典型问题根因分析（包含风险演化路径）、整改责任矩阵（落实到具体姓名与整改时限）。附件：现场操作工具包以下工具供审计人员直接打印或导入系统使用，确保现场执行动作不走样。附件一：权限审计现场检查清单序号检查维度具体执行动作量化指标与判据涉及表单/系统1实名制导出全量账号与HR系统人员身份证号做交叉比对账号无法映射至真实自然人的比例必须=0%账号主数据表2离职阻断抽取近30天离职人员，核对系统账号停用时间点HR离职流程完结至系统停用时间差≤4HR系统、OA系统3职责分离比对核心冲突矩阵（采购/财务/HR）发现同一账号存在互斥角色数量=0ERP权限分配表4特权管控检查堡垒机配置与服务器安全日志非堡垒机IP登录核心服务器次数=0堡垒机、服务器系统日志5密码策略测试密码修改功能，输入低复杂度密码系统必须拒绝纯数字或短于8位的密码修改请求目标办公系统附件二：