信息系统账号权限年度审计规范

信息系统账号权限年度审计规范一、总则账号权限审计的根本目的不是消除系统访问，而是将越权访问与身份冒用风险锚定在业务可接受阈值内。无规则的放任会导致数据泄露，而一刀切的收回将阻断业务连续性，本规范旨在建立两者的动态平衡。1.1审计目的通过年度全量核查与抽样穿透测试，识别信息系统中的僵尸账号、越权账号、特权共享账号，确保账号生命周期与员工实际履职状态严格匹配，满足《中华人民共和国网络安全法》《中华人民共和国数据安全法》及等级保护2.0三级要求中关于访问控制的合规底线。1.2适用范围本规范适用于公司所有正式上线运行的业务系统、办公协同系统、云平台控制台、数据库及网络设备。处于开发测试环境的系统不纳入年度审计，但应当在项目验收时进行单独权限基线校验。1.3审计周期与触发条件•年度全量审计：每年10月1日启动，11月30日前出具审计报告。•专项触发审计：当发生核心岗位人员离职（如CIO、DBA团队负责人）、系统架构大版本升级、或外部监管机构检查时，必须在人员变动或系统变更生效后48小时内启动专项审计。二、审计组织与职责分工权限审计绝不是IT部门的独角戏，它是业务所有者、系统管理员与独立审计员三权制衡的落地动作。缺乏业务侧确认的权限清理极具破坏性，缺乏独立审计的权限核查形同虚设。2.1角色与职责划分•审计组（牵头方）：由内审部或信息安全部指派人员组成，负责制定审计计划、下发数据提取单、执行核查逻辑、出具审计报告。严禁由被审计系统的日常运维人员兼任审计员。•业务所有者（确认方）：为各业务部门负责人，负责对系统内本部门人员的权限清单进行复核，对“业务必需”的权限进行背书签字。•系统管理员（执行方）：为IT运维部对应系统责任人，负责提供账号权限清单底表、执行权限回收与变更工单。2.2人员权限管控审计组成员在审计期间可获取系统只读审计账号（如数据库的AUDIT_USER），该账号仅具备查询系统字典表、日志表的权限。严禁直接使用SYSDBA或root账号进行数据提取（直接使用最高权限将绕过所有操作审计留痕，且极易因误操作引发系统故障）。三、审计准备阶段审计的质量上限由数据采集的颗粒度决定，错误的提取方式或粗放的字段记录将导致后续所有核查失去基准。本阶段决定了审计结果的真实性。3.1账号数据采集范围系统管理员须在收到审计通知后3个工作日内，从目标系统中提取以下字段并汇总为CSV格式：1.用户唯一标识（员工工号或系统唯一ID）2.账号名称（登录名）3.所属角色/用户组4.关联权限点（菜单级、按钮级或数据行级）5.账号状态（启用/停用/锁定）6.最后一次登录时间（精确至秒）7.账号创建时间与创建人3.2数据提取与脱敏机制•提取机制：优先通过系统自带API或堡垒机自动脚本拉取数据；若系统不支持自动化接口，由系统管理员在堡垒机录像监控下执行数据库查询导出；严禁要求业务人员手工截图上报（截图极易遗漏深层权限分配，且无法进行交叉比对）。•脱敏要求：在将数据移交审计组前，须对账号对应的真实姓名进行哈希脱敏（如张某某脱敏为`Z*），手机号脱敏为138XXXX`。员工工号必须保留明文，作为跨系统交叉比对的唯一主键。3.3基线与规则配置审计组须在收到数据后24小时内完成比对基线的准备。基线数据来源于HR系统当月在职人员花名册及组织架构图。审计组应当将系统提交的账号清单与HR花名册进行全量LEFTJOIN操作，任何在系统清单中存在但在HR花名册中不存在的工号，直接标记为“疑似离职未禁用”高危异常。四、审计执行与核查核查的本质是将系统实际状态与安全基线进行逐行对撞，任何“批量豁免”或“业务惯例”都是对底线的妥协。本阶段必须给出非黑即白的判定结论。4.1账号存在性审查（僵尸与幽灵账号）•核查逻辑：以最后一次登录时间为基准。连续90天未登录的账号判定为“僵尸账号”；在HR系统显示已离职但系统账号仍为“启用”状态的，判定为“幽灵账号”。•处置原则：◦幽灵账号：必须在工作日下班前由系统管理员通过工单系统执行强制停用，严禁仅作“权限清零”处理（保留空权限的账号仍存在被提权攻击的风险）。◦僵尸账号：系统管理员须发起账号冻结流程，向账号归属人发送预警邮件，若归属人7个工作日内未回复续用申请，直接停用并归档。4.2权限合规性审查（最小权限原则）•角色比对：审计组应当将系统账号的实际权限点与该员工《岗位说明书》中要求的业务模块进行映射。若员工权限覆盖了非本职模块（如普通财务人员拥有系统后台配置权限），判定为“越权”。•数据行级审查：针对ERP、CRM等含敏感数据的系统，必须抽取50个高权限账号，核查其数据查询范围。若区域销售总监能查询非管辖区域的客户联系方式，判定为“行级越权”，必须立即收回对应数据字典过滤策略的豁免权。•变更追溯：对于审计周期内权限发生升级的账号，系统管理员须提供对应的审批工单编号。无审批工单的权限提升判定为“违规提权”，审计组必须溯源至操作人并启动追责。4.3特权账号审查（高敏管控）特权账号（如root、sa、admin）的失控将引发系统性灾难。特权账号的审查重点不是“有没有权限”，而是“是否做到人与权限的物理隔离”。•共享账号排查：严禁多个自然人共用同一特权账号。若系统受限于架构只能存在一个特权账号，必须接入堡垒机实现“单人单次授权、操作录像全留存”。•密码复杂度与轮换：特权账号密码长度必须≥16位，包含大小写字母、数字及特殊符号，且密码轮换周期必须≤30天。审计组须通过堡垒机密码库校验历次轮换记录，严禁密码连续3次使用相同字符串或仅做末位递增（如Pass@2023变更为4.4休眠权限审查（权限回收）当员工发生跨部门调动时，旧部门的业务权限应当被剥离。审计组应当提取过去12个月内发生部门调动的员工清单，核查其在原部门业务系统中的权限是否仍处于生效状态。若调岗满30天仍未回收原权限，判定为“权限沉淀”，原系统管理员须在24小时内完成清理。五、异常分级与处置流程发现异常仅是起点，建立从权限阻断到根因追溯的闭环才是审计价值的变现。按风险严重程度实施分级管控，确保资源向高风险项倾斜。5.1风险分级标准风险等级判定标准触发动作时效一级（高危）离职人员账号仍存活且有特权；系统存在无主归属的孤儿账号；特权账号密码泄露立即阻断（2小时内）二级（中危）僵尸账号超90天未登录；越权访问非敏感业务模块；调岗未回收原权限限期整改（3个工作日内）三级（低危）账号密码不符合复杂度要求；普通账号长期未轮换密码常规整改（10个工作日内）5.2一级异常应急处置1.阻断阶段：审计组直接通知系统管理员切断异常账号的网络访问权限或锁定数据库账号。若涉及核心业务系统且在业务高峰期，必须先评估阻断影响（如导致订单流水中断），若影响不可接受，应当先将账号降级为只读权限，并限制访问IP段。2.溯源阶段：安全团队介入，提取该账号近30天的操作日志，排查是否存在数据导出、篡改等实质性破坏。3.复盘阶段：若确认发生数据外发，必须按照《数据安全事件应急预案》在24小时内向网信办及公安部门报告，严禁隐瞒不报。5.3异常整改验收机制业务部门在收到《权限审计异常整改单》后完成工单闭环。审计组应当对整改结果进行“二次穿测”——不是听信系统管理员的口头或截图汇报，而是审计组成员亲自使用该账号尝试登录或执行越权操作，确认权限已被彻底剥离且未产生其他副作用。六、审计报告与闭环跟踪没有强制整改与验收的审计报告只是一纸空文，闭环机制是规范执行的最终防线。报告的交付不是终点，而是下一轮基线建设的起点。6.1审计报告编制审计组须在每年11月30日前编制完成《信息系统账号权限年度审计报告》。报告必须包含以下量化数据：•系统总账号数、活跃账号数、审计覆盖率（应当达到100%•各级异常发现数量及占比。•整改完成率（必须达到100%•典型案例分析（不少于3个，需包含根因分析与制度漏洞说明）。6.2基线优化与PDCA迭代针对审计中发现的系统性漏洞（如离职流程未打通OA与各业务系统），审计组应当向管理层提出流程优化建议，并将其固化为下一年的系统准入基线。例如：若当年发现5起以上离职未禁用事件，次年系统必须强制接入HR系统的离职状态变更Webhook，实现自动联动停用。七、附录：审计工具与表单模板标准化的表单是一线执行的准绳，消除理解偏差全靠这些载体。以下表单可直接导出或打印使用。7.1系统账号权限提取清单（系统管理员填报模板）序号员工工号账号名称系统角色权限点描述账号状态最后登录时间审批工单号1100045Z*001财务复核员凭证审核、反审核启用2023-10-2410:00:00IT-2023-00122100089A*002系统管理员全局配置、用户管理启用2023-10-2409:30:00IT-2023-00457.2权限审计异常整改单（审计组下发模板）•受检系统：XXX协同办公系统•异常等级：一级（高危）•异常描述：工号100023（张某某，2023-08-15离职），截至2023-10-26该账号仍处于启用状态，且具备系统后台配置权限。账号最后登录时间为2023-09-1002:15:00，存在非工作时间异常登录。•处置要求：1.系统管理员须在收到本单2小时内强制停用该账号并冻结会话。2.安全团队须在24小时内提取IP地址及操作轨迹并留存取证日志。3.业务所有者须在3个工作日内提交情况说明及后续防范措施。•整改完成签字栏（系统管理员）