信息系统权限清理专项方案

信息系统权限清理专项方案一、清理目标与原则权限清理不是单纯的IT运维操作，而是切断数据泄露源头的合规刚性动作，必须以业务连续性为底线、以最小权限为标尺。1.1清理目标本专项计划于30个工作日内，完成全公司15个核心业务系统（含OA、ERP、CRM、财务系统、核心数据仓库）及42个边缘应用系统的账号权限全面盘点与清理。目标指标如下：•沉睡账号（连续90天未登录）清理率必须达到100%。•离职人员账号超期未停用数量降为0（HR离职流程与IT账号停用时限差≤4•越权账号（实际权限大于岗位职责所需）降权整改率≥95•共享账号（多人使用同一账号）拆分率达到100%。1.2清理原则•最小权限原则：账号权限应当仅覆盖当前岗位履职所需的最低限度数据与功能模块。临时授予的high-level权限（如系统超级管理员）在维护任务结束后2小时内必须收回。•职责分离原则：业务申请人与权限审批人必须分离；系统权限配置操作人与复核人必须分离，严禁同一人完成申请与授权全流程。•可追溯原则：所有权限的新增、修改、删除动作必须留存操作日志，日志保存周期不得少于180天。二、组织架构与职责划分权限清理涉及跨部门博弈与利益平衡，必须成立具有考核与处罚权的联合工作组而非单打独斗。2.1权限清理专项工作组•组长（分管IT副总）：负责审批总体方案，协调跨部门资源冲突，对清理结果承担领导责任。每月初例会听取清理进度汇报。•副组长（IT部门负责人）：负责制定具体技术执行方案，调配IT运维人员，审核权限变更清单，对系统安全承担直接责任。•业务接口人（各业务部门负责人）：负责本部门权限清单的复核（确认在用账号与真实岗位匹配度），单日内响应IT部门发出的权限核对工单。•执行组（IT运维组+信息安全组）：IT运维组负责执行账号的禁用与权限剥离；信息安全组负责清理前后的审计抽查与合规校验。2.2职责边界与RACI矩阵事项业务部门IT运维组信息安全组分管副总提报账号使用清单RACI审核权限合理性RACI执行权限收回与账号停用IRAC清理结果抽查审计CIRA异常业务中断恢复RACI注：R-执行者，A-最终责任人，C-被咨询者，I-被通知者。三、清理范围与系统分级系统千差万别，一刀切的清理策略会导致核心业务中断，必须按敏感度分级施策并匹配不同的清理力度。3.1系统分级标准根据系统承载的数据敏感度与业务影响范围，将全公司信息系统划分为三级：•一级系统（高敏感/核心业务）：ERP、财务系统、核心数据仓库、客户关系管理系统。包含企业财务数据、核心源代码、海量客户个人信息。清理动作必须灰度执行。•二级系统（内部协同）：OA办公系统、HR系统、项目管理系统。包含员工薪酬、绩效考核、内部公文。清理动作按部门分批执行。•三级系统（边缘/公开）：企业知识库、会议室预订系统、内部论坛。清理动作可全量一次性执行。3.2重点清理对象识别本次清理重点锁定以下四类高风险账号：1.离职未销户账号：员工已办理离职手续，但系统账号仍处于Active状态。风险演化：离职员工心怀不满→利用未注销账号远程登录→窃取客户名单或篡改财务数据→企业蒙受直接经济损失及合规处罚。2.岗位变动残留账号：员工调岗后，原岗位权限未剥离，叠加新岗位权限，形成权限累积。必须按“先剥离旧权限，再授予新权限”的逻辑执行。3.长期沉睡账号：连续90个自然日未有任何登录记录的账号。此类账号密码往往已弱化或被遗忘，极易成为黑客撞库攻击的突破口。4.共享/外包账号：多个员工或外包人员共用同一个账号登录系统。一旦发生违规操作，无法定位到具体自然人，存在严重的审计与法律合规风险。四、清理执行标准与操作规程发现僵尸账号到正式回收之间的每一步操作都伴随审计风险，必须严格按“冻结-核查-清理”的物理隔离逻辑执行。4.1账号冻结规程（执行前7日）•动作机理：在关系型数据库与LDAP认证体系中，用户的访问权限通过访问控制列表（ACL）与状态位关联。直接物理删除用户记录会引发外键约束报错，导致业务系统查询功能崩溃。因此必须先修改账号状态为Disabled切断登录入口，再切断其与权限组的关联。•操作步骤：1.IT运维组从系统后台导出连续90天未登录的账号清单。2.通过邮件及OA系统向账号归属人及其直属上级发送《账号冻结预警通知》，限期3个工作日内反馈。3.逾期未反馈的，IT运维组将账号状态变更为“冻结”。冻结状态下账号无法登录，但保留所有历史操作日志与关联数据。•禁忌与替代方案：严禁直接在数据库执行DELETEFROMusersWHEREid='xxx'。替代方案：执行UPDATEusersSETstatus='frozen'WHEREid='xxx'，并在应用层拦截该账号的Token验证。4.2权限剥离与降权规程对于在用但存在越权情况的账号，按以下步骤执行权限降级：1.权限比对：IT运维组提取系统当前权限矩阵，业务部门负责人对照《岗位说明书》勾选必需权限。2.生成差异清单：系统自动比对“现有权限”与“申请保留权限”，生成需回收权限清单。3.执行收回：IT运维组在系统后台取消对应角色绑定。4.复核验证：信息安全组使用该账号尝试访问已收回权限的页面，若返回403Forbidden则视为收回成功；若仍可访问，必须排查是否存在硬编码的超级权限Token或缓存未刷新问题，并在2小时内修复。4.3外包与共享账号拆分•优先方案：优先为每位外包人员分配独立的子账号，绑定有效期90天的临时访问策略。•备选方案：若系统架构不支持多账号隔离（如部分老旧遗留系统），必须在该共享账号上启用强审计模式，记录每次登录的源IP、设备指纹与操作行为，并由业务接口人每周签字确认操作日志。•严禁行为：严禁将共享账号的密码通过微信、钉钉等即时通讯工具以明文形式发送。密码传输必须采用加密邮件或企业密码管理工具（如Vault），且每30天强制轮换一次。五、异常处置与应急预案权限回收极易误删在用账号导致业务停摆，应急预案的核心是在15分钟内实现权限无损回滚。5.1异常分级与响应机制清理过程中可能引发的业务中断按严重程度分为三级，各级判定标准与响应要求如下：等级判定标准启动权限处置原则与时效一级（重大）核心业务系统（ERP/财务）全员无法登录或关键审批流中断IT部门负责人15分钟内启动回滚，30分钟内恢复业务，1小时内提交初步事故报告二级（较大）某一业务部门（≥5人）无法访问二级系统或部分功能模块报错IT运维组长30分钟内启动排查，2小时内恢复或提供临时替代方案三级（一般）个别用户（≤2人）权限丢失或无法登录三级系统值班运维人员4小时内响应，当个工作日内解决5.2回滚机制与追溯•为什么这么做：当大量并发执行权限剥离时，若脚本逻辑存在漏洞，可能批量误伤正常账号。依赖数据库定时备份（如每日凌晨备份）无法满足15分钟恢复时效，必须依赖操作前的快照与事务回滚。•怎么做：执行清理脚本前，运维人员必须对涉及变动的数据库表执行全量Dump或数据库快照。所有变更操作必须封装在数据库事务中，发生异常时执行ROLLBACKTRANSACTION。•出问题怎么办：若回滚失败或已部分提交，IT运维组必须立即停止所有清理脚本，启用操作前快照覆盖现有状态。同时信息安全组介入，通过Binlog日志逆向追踪误操作记录并手动修复。六、长效机制建设与持续审计一次性的清理只能解决存量垃圾，杜绝增量必须建立基于角色的访问控制（RBAC）与自动轮转机制。6.1PDCA闭环管理•计划（Plan）：每年初由信息安全管理委员会发布年度权限基线标准，明确各层级岗位默认权限模板。•执行：新员工入职、调岗、离职时，HR系统（eHR）触发工单流转至IT服务台，IT依据工单在4小时内完成权限的配置或变更。•检查：每季度末最后5个工作日，IT部门导出全量权限清单进行系统级盲审，识别偏离基线的异常账号。•改进：针对审计发现的系统性漏洞（如某系统缺乏账号过期机制），由IT部门提交系统改造需求并排期开发修复。6.2自动化监控与告警部署脚本化监控机制，防范权限死灰复燃：1.离职同步监控：每2小时比对一次HR系统离职人员名单与各应用系统Active账号清单。若发现离职超4小时但账号仍在线，系统自动向IT运维主管发送告警邮件，并自动执行账号强制禁用。2.超级管理员监控：核心系统（一级系统）的超级管理员账号登录行为必须触发实时告警。告警信息包含登录时间、源IP、操作终端，发送至信息安全组值班手机。3.权限变更留痕：集成SIEM（安全信息和事件管理）平台，收集所有系统的权限变更日志，日志中必须包含操作人ID、目标账号ID、变更前后权限值。日志保留期180天以上，支持按操作人快速检索。七、附件与执行工具方案落地的最后一公里在于工具化，以下表单直接作为工单附件下发执行，不另设其他纸质流转单。7.1信息系统账号权限核对确认表系统名称账号ID持有人姓名当前岗位现有权限角色需保留权限角色需收回权限角色业务接口人签字日期ERP系统ZHANGSAN张某华南销售经理SALES_MGRSALES_MGRFIN_VIEWOA系统LISI李某离职人员EMP_NORMAL（已离职，无保留）EMP_NORMAL注：本表由IT运维组导出系统现状后下发，各业务部门负责人必须在3个工作日内完成签字确认并退回。7.2权限清理执行检查表•[]已从系统后台导出全量Ac