信息科权限管理自查存在问题及整改措施.docxVIP

信息科权限管理自查存在问题及整改措施

一、引言

为落实《网络安全法》《数据安全法》及等保2.0相关要求，排查信息系统权限管理中的安全隐患，防范越权访问、数据泄露等风险，保障核心业务稳定运行，信息科于202X年X月X日至X月X日组织开展了全范围的权限管理专项自查工作。本次自查覆盖核心业务系统、基础支撑平台及所有用户账号，通过台账核对、现场抽查、技术扫描、人员访谈等方式，全面梳理权限管理现状，识别问题并制定针对性整改措施，现将自查情况及整改方案报告如下。

二、自查工作开展情况

（一）自查范围

本次自查覆盖12个核心业务系统（含HIS、EMR、LIS、PACS、OA、ERP等）、8套基础支撑系统（数据库集群、云服务器、网络设备等），以及全部门326个用户账号（含42个管理员账号、18个第三方服务商账号、266个业务人员账号）。

（二）自查方式

1.台账核对法：对照《信息系统账号权限台账》《员工岗位变动记录表》，核实账号权限与岗位匹配度；

2.现场抽查法：随机抽取86个业务账号、12个管理员账号进行现场登录验证，核查权限实际范围；

3.技术扫描法：利用权限审计工具对核心系统数据库、服务器进行权限扫描，检测越权访问、冗余权限等问题；

4.流程审核法：查阅62份权限申请/变更文档，核查审批流程完整性与合规性；

5.人员访谈法：访谈50名业务人员、10名运维人员，了解权限申请流程、安全意识等情况。

（三）自查概况

本次自查共完成12个核心系统的权限梳理，抽查326个用户账号（抽查覆盖率100%），发现各类权限管理问题7大类24项，涉及账号287个次，其中高风险问题3项、中风险问题12项、低风险问题9项，整体权限合规率仅为68.71%。

三、自查发现的主要问题及数据分析

（一）权限配置不规范，合规性存在漏洞

1.跨域越权配置突出：抽查的326个账号中，28个账号存在跨科室/跨部门权限，占比8.59%。例如门诊护士账号拥有住院医嘱修改权限、行政人员账号可访问患者电子病历，违反“最小权限”与“职责分离”原则；

2.冗余权限清理不及时：近半年离职的46名员工中，12人账号仍处于激活状态，占比26.09%；35名岗位调整员工中，18人未清理原岗位权限，占比51.43%，部分账号权限闲置超过6个月；

3.超级账号过多且管理失控：核心业务系统存在12个超级管理员账号，其中3个分配给后勤行政人员（无运维需求），占比25%；部分超级账号密码长期未更换，存在被冒用风险；

4.权限最小化落实不到位：86个医生账号中，79个拥有病历删除权限（实际仅需修改/提交审核权限），占比91.86%；15个收费人员账号拥有退费审批权限（超出岗位必要范围），占比17.44%。

（二）权限审批流程不严谨，可追溯性不足

1.审批流程缺失或层级不足：18个第三方服务商账号中，10个无正式审批文档，仅通过口头申请开通，占比55.56%；62份权限申请单中，21份未经过信息科合规性审核，仅由科室负责人签字，占比33.87%；

2.审批文档留存不全：15份权限变更申请无审批人电子签名或纸质签字痕迹，占比24.19%；8份第三方权限申请未留存《信息安全承诺书》，无法追溯责任；

3.临时权限管理失控：12个临时开通的第三方测试账号，到期后未及时禁用，其中3个账号权限已超期3个月，占比25%。

（三）技术管控措施薄弱，风险防控能力有限

1.权限审计覆盖不全：仅4个核心系统开启操作日志审计，其余8个系统无权限操作记录或日志留存不足30天，不符合等保2.0“日志留存≥6个月”的要求；无实时审计告警机制，越权操作无法及时发现；

2.多因素认证覆盖率低：42个管理员账号中仅12个启用USBKey双因素认证，其余30个仅使用密码认证，占比71.43%；核心业务系统的敏感岗位账号（如病历录入、收费）未配置双因素认证，密码泄露风险极高；

3.权限自动化联动缺失：未实现与人力资源系统的对接，员工入职、调岗、离职需人工申请权限，流程滞后性导致权限错配率达12.3%；无权限到期自动禁用功能，临时权限依赖人工提醒，遗漏率达33.33%；

4.密码管理不规范：抽查100个账号，32个密码长度不足8位，15个密码与账号名一致，21个密码超过180天未更换，弱密码占比达68%，存在暴力破解风险。

（四）人员管理存在疏漏，安全意识有待提升

1.第三方人员管理松散：18个第三方服务商人员中，6人未签订《信息安全保密协议》，占比33.33%；3名项目结束后的第三方人员账号仍处于激活状态，占比16.67%；

2.管理员权限交接不规范：2名离职运维人员未提交《权限交接清单》，新管理员直接使用原账号，未重置密码，存在身份冒用风险；

3.员工安全意识薄弱：访谈的50名业务人员中，32人不清楚权限申