系统权限安全管控标准.docxVIP

系统权限安全管控标准

作为从事企业信息安全工作十多年的从业人员，我见过太多因为权限管控混乱引发的安全事故：小到普通员工误删核心业务数据，找不出责任人只能整个部门背锅；大到离职员工账号长期未注销，带走全量客户信息给公司造成几百万的损失，甚至还有人利用不相容岗位权限重叠挪用公款。这些事故里，绝大多数都不是什么高深的黑客攻击，仅仅是因为没有一套清晰明确、执行到位的管控标准，留下了本该避免的漏洞。因此，一套科学完善的系统权限安全管控标准，从来不是挂在墙上的形式文件，而是保护公司资产、也保护每一位员工的安全防火墙。本文从实际工作出发，明确这套标准的全部要求，方便所有相关人员参照执行。

1总则

1.1标准制定目的

本标准的核心目的是规范企业所有信息系统的权限全生命周期管理，明确各部门、各岗位在权限管控中的责任，防范越权操作、数据泄露、系统破坏、职务侵占等各类风险，在不影响正常业务效率的前提下，做到“该开的权限不卡，不该开的权限不给，该收的权限及时收”，既保护公司核心信息资产的安全，也避免员工因为权限混乱承担不必要的责任。

1.2适用范围

本标准适用于企业内部所有投入使用的信息系统，包括但不限于办公OA系统、财务系统、客户关系管理系统、生产管理系统、人力资源系统、自研业务系统等，同时覆盖外部合作方、临时项目人员的临时权限管控，所有涉及系统权限开通、变更、使用、回收的环节，都必须遵守本标准的