离职人员IT权限注销检查表

离职人员IT权限注销检查表一、制定依据与适用范围IT权限的遗留是企业数据泄露的最高频突破口，本规程旨在切断这一隐患的物理与逻辑路径。依据《中华人民共和国数据安全法》《中华人民共和国网络安全法》及等级保护2.0相关要求，企业必须建立离职人员网络访问权限与数据持有权的即时收回机制。本规程适用于公司全体全职员工、劳务派遣人员、外包人员及实习生在劳动关系解除或项目终止时的IT资产交接、权限回收与数据清理工作。二、角色与职责划分权限注销并非IT部门的单打独斗，而是需要HR、业务线与IT紧密咬合的三方制衡机制。业务主管负责数据完整性交接，HR负责流程合法性启动，IT负责技术性阻断与资产回收，离职人负责配合执行。角色核心职责时间节点要求产出物/凭证HR部门发起离职流程，核实离职生效日，督促员工完成线上流转审批离职生效日（T日）前5个工作日《离职申请单》（系统线上工单）业务主管监督业务数据归档、项目代码提交、工作群组交接T日前3个工作日《业务交接清单》（需业务主管签字确认）离职人员移交软硬件资产，配合账号密码交接，严禁私自清空数据T日前1个工作日资产归还签收单IT部门执行全量IT权限阻断、设备回收、数据擦除与审计复核T日17:00前完成阻断，T+3日内完成审计《离职IT权限注销检查表》IT安全合规组抽查注销记录，核查违规外发与异常登录日志T+5个工作日内《离职安全审计报告》三、离职权限注销标准执行流程完整的注销流程必须覆盖从离职动议生效到事后审计的全生命周期，任何环节跳跃都会形成权限真空期。3.1计划阶段(Plan)HR系统在员工提交离职申请后，自动向IT服务台推送预离职工单。IT资产管理员在收到工单后2小时内，从IT资产库中拉取该员工的《IT资产领用台账》，生成定向《IT资产与权限回收清单》。此阶段必须梳理出该员工持有的所有显性资产（如笔记本电脑、测试手机、门禁卡）与隐性权限（如VPN账号、云主机SSH密钥、GitLab代码库权限、数据库只读账号等）。3.2执行阶段(Do)业务交接与权限回收必须并行推进。离职人员必须在T日前1个工作日完成所有业务数据的上传与代码的Commit/Push。IT部门在T日14:00起开始执行权限降级：首先冻结外发权限（如邮件附件发送、网盘下载），保留内部只读权限以便业务主管核对交接完整性；在T日17:00，业务主管确认交接完毕后，IT部门一键执行全量账号禁用。3.3检查阶段(Check)权限阻断后，IT支持工程师必须进行连通性验证。使用离职员工的账号进行VPN拨号测试、OA系统登录测试、Wi-Fi认证测试。若登录成功，说明身份认证同步机制存在延迟或漏洞，必须立即手动干预并排查根因。同时，安全合规组需调取该员工近7天的网络流量日志，排查是否存在大批量数据下载、压缩包外发或通过个人邮箱转发的异常行为。3.4改进阶段(Act)每月5日前，IT安全合规组汇总上月离职权限注销工单，统计执行及时率（目标值100%）与审计异常率。对于超时执行的工单，IT部门主管需在月度复盘会中说明原因（如业务交接未完成导致延期），并输出优化措施（如将代码合并审批SLA从48小时缩短至24小时）。四、核心系统注销操作规程与动作机理不同系统架构的权限拦截点存在物理与逻辑差异，不可一概而论，必须依据系统特性精准切断。4.1统一身份认证与AD域控AD域控是内网权限的根节点，停用域账号等同于切断了内网访问的中枢神经。•执行动作：在AD管理控制台中，右键员工账户选择"禁用账户"，并将其从所有安全组（如VPN_Users、FileShare_Finance）中移除，移入名为OU=DisabledUsers的专属组织单元（OU）。•动作机理：禁用账户保留了SID（安全标识符），确保历史审计日志可追溯，但拒绝了所有Kerberos和NTLM身份验证请求。移入禁用OU是为了确保其不再继承原部门OU下发的组策略（GPO），彻底阻断内网认证。•错误做法与后果：严禁图省事直接删除账户。删除账户会导致SID被回收，未来若新建账户被分配到相同的SID，新员工将自动获得原离职员工的残留权限，造成越权访问。4.2业务应用系统(ERP/OA/CRM)业务系统的权限往往存在本地账号与SSO（单点登录）并存的局面，必须进行双重阻断。•执行动作：优先注销SSO绑定，随后登录业务系统后台，将本地账号状态修改为"冻结/离职"。必须清空该账号绑定的IP白名单和MAC地址绑定。•动作机理：业务系统通常通过Token或Session保持长连接。修改账号状态后，需强制踢出该用户当前所有活跃会话，使其在下次接口请求时因Token失效被拦截。•异常处置：若业务系统无法批量清空会话，应当通知系统管理员在数据库层执行UPDATEuser_sessionsSETstatus='invalid'WHEREuser_id='XXX'强制下线。4.3网络与VPN接入网络层面的切断是物理隔离的最后防线，必须确保无死灰复燃的可能。•执行动作：在防火墙/VPN网关中删除该员工的账号；吊销其个人证书（若使用证书认证）；在无线控制器（AC）中将其MAC地址加入黑名单。•动作机理：VPN的加密隧道建立在身份认证之上，吊销证书或删除账号会使IKEv2/IPSec协商阶段直接失败。加入无线黑名单则从数据链路层（Layer2）拒绝了设备的关联请求。•替代方案：若企业使用零信任网络架构（ZTNA），应当在信任评估引擎中直接拉黑该用户的设备指纹与用户ID，使其任何网络探测均返回403Forbidden。4.4终端设备与数据擦除终端设备硬盘往往存有大量缓存文件与离线代码，简单的格式化无法抵御底层数据恢复技术。•执行动作：回收离职人员领用的笔记本电脑、测试手机、移动硬盘。对于电脑硬盘，优先使用多次覆写擦除（如DoD5220.22-M标准，覆盖至少3遍）；若硬盘存在物理损坏无法擦除，则必须进行物理消磁或粉碎销毁。对于测试手机，执行恢复出厂设置，并拔出所有SIM卡和SD卡。•动作机理：普通格式化仅删除了文件分配表（FAT/NTFS目录索引），底层数据扇区并未被清零。通过底层磁盘扫描工具（如WinHex）可直接还原文件。多次覆写通过交替写入0和1，产生强磁场翻转，使磁畴无法被电子显微镜分辨，实现数据不可逆销毁。•禁忌三件套：严禁直接将回收的电脑分配给新员工使用（原残留缓存可能包含敏感薪资或客户数据）。若硬盘无法擦除，严禁按二手设备出售，必须交由具备涉密载体销毁资质的机构进行物理粉碎。4.5代码仓库与云平台资产代码与云资源是企业的核心数字资产，离职时的提权或克隆操作往往发生在这一环节。•执行动作：在GitLab/GitHub中移除该员工的所有Group和ProjectMembership；在云平台（AWS/阿里云）控制台中删除IAM用户及其AccessKey；检查并移除该员工绑定的云资源（如ECS实例的SSH公钥~/.ssh/authorized_keys）。•动作机理：AccessKey是独立于账号密码的长效凭证，即使账号被禁用，只要AccessKey未删除，攻击者仍可通过API调用直接操控云资源。必须先轮转（删除）AccessKey，再禁用控制台登录权限。•错误做法与后果：严禁仅移出代码库而不删除APIToken。员工可通过个人电脑中保存的PersonalAccessToken继续拉取代码库，导致源码泄露。五、分级风险场景与异常处置预案离职交接往往伴随情绪波动与利益冲突，常规的线性流程无法覆盖恶意破坏或突发对抗场景。必须依据风险演化路径建立分级响应机制。5.1一级风险：常规主动离职•判定标准：员工提前30天（试用期提前3天）提交辞职申请，无劳动纠纷，交接配合度高。•启动权限：IT运维人员按标准SOP执行。•处置原则：正常回收资产，T日17:00准时停用权限。通过防火墙日志抽样检查其离职前1周的流量，确认无异常大批量下载行为即可闭环。5.2二级风险：劝退/裁员/劳动仲裁•判定标准：公司单方面解除劳动合同，或员工涉及绩效不达标劝退、存在明显抵触情绪及劳动仲裁倾向。•风险演化路径：员工产生报复心理→提前将核心代码库Push至个人GitHub→使用U盘拷贝客户名单→离职后带走数据入职竞品公司→造成企业核心商业机密流失。•启动权限：HR部门发出辞退通知的同时，IT安全总监立即下达"防泄露管控指令"。•处置原则：1.零信任前置管控：在通知员工面谈前1小时，IT部门必须先冻结其邮箱外发权限、网盘上传权限及USB端口写入权限，阻断物理拷贝与云端同步途径。2.监督交接：由IT与业务主管双人在场监督其进行工作文件交接，严禁其携带个人U盘或移动硬盘进入机房或办公区。3.深度审计：T+1日内，安全合规组必须全量调取其近30天的操作日志，使用DLP（数据防泄漏）系统进行语义分析，排查隐蔽的数据外发行为。5.3三级风险：核心高管/高权限研发人员离职•判定标准：掌握企业核心源码库Root权限、生产数据库DBA权限、全网拓扑架构或高管层级，且即将入职直接竞争对手公司。•风险演化路径：员工离职前配置隐蔽后门→植入定时脚本删除数据库→离职后远程触发→生产系统宕机，业务全面停摆。•启动权限：CEO或CTO直接授权启动紧急隔离预案。•处置原则：1.速冻机制：在离职生效日T日0:00，强行重置其所有高权限账号密码，强制所有活跃会话下线。2.权限降维：将其权限从"管理员"降级为"仅读审计账号"，且仅允许通过堡垒机访问，禁止任何变更操作（DDL/DML语句全盘拦截）。3.密钥轮转：该员工接触过的所有系统Root密码、数据库管理员密码、VPN预共享密钥，必须在T+1日内全量轮转更新。排查其个人开发的脚本，确认无恶意逻辑后方可由他人接管。六、审计与追溯机制权限注销不仅是对历史的切断，更是对未来可能出现的法律纠纷或数据泄露事件的责任切割。必须确保每个操作有迹可循、不可篡改。6.1日志留存规范所有IT系统的身份认证日志、权限变更操作日志、数据访问日志必须同步至独立的日志审计平台（如ELK或Splunk）。依据《网络安全法》要求，日志留存时间不得少于6个月；涉及核心生产系统的审计日志，应当加密归档保存至少180天。6.2闭环检查与责任追究IT部门主管每月依据《离职IT权限注销检查表》进行100%全覆盖复核。安全合规组按20%比例进行抽查。•复核内容：核对检查表上的每一项是否均有对应的系统操作截图或系统日志记录。•责任划分：◦若因HR未及时发起离职流程导致权限滞留，由HR承担管理责任。◦若因IT执行人员疏忽导致VPN或系统漏关，且未发生数据泄露，对IT执行人扣减当月绩效；若因此发生数据外泄，IT执行人承担直接责任，IT主管承担管理责任，严重者移交司法机关处理。七、附件：可执行工具包标准的落地依赖于一线人员能够直接套用的表单与清单，而非抽象的原则。以下表单可直接打印使用。7.1离职IT权限注销检查表（执行版）序号检查项目具体动作与参数要求责任人执行状态(完成/不适用)完成时间操作人签字1身份认证AD域账号禁用并移入DisabledUsersOU，清空所属安全组IT运维2邮箱系统账号禁用，设置自动转发至接替人或分配共享邮箱，导出PST归档IT运维3业务系统注销OA/ERP/CRM系统账号，强制下线所有活跃SessionIT运维4网络接入删除VPN账号，吊销证书，MAC地址加入无线黑名单网络工程师5终端资产笔记本收回，执行DoD5220.22-M标准擦除，资产系统变更状态资产管理员6代码仓库移除GitLab/GitHub权限，清除PersonalAccessToken研发运维7云平台删除阿里云/AWSIAM用户及AccessKey，移除ECSSSH公钥云平台管理员8安全审计检查离职前14天流量日志，确认无大批量数据外发异常安全合规7.2离职资产交接确认单（业务签字版）离职人信息•姓名：___________________•工号：___________________•部门：___________________•离职生效日：____年月__日资产归还明细•笔记本电脑型号及SN：___________________(电源适配器是否齐全：是/否)•显示器/键盘/鼠标：___________________•测试手机及IMEI码：___________________•门禁卡/工牌：___________________•其他外设（如U盘/移动硬盘）：___________________数据交接确认•工作文件已全部上传至公司网盘/服务器指定目录：[]是[]否•项目代码已全部Commit到GitLab且无本地未提交版本：[]是[]否•个人私有数据已清空且不涉及公司业务：[]是[]否声明：本人确认已交还所有公司IT资产，无保留任何包含公司商业机密