外包运维人员访问权限管理规范.docxVIP

外包运维人员访问权限管理规范

一、总则

1.1目的与适用范围

外包运维人员是外部人员，却握有接近内部正式员工的技术权限——这是权限管理中风险最高的组合：人不在编制内、不受内部纪律约束、合同期满即离场，但其账号若未同步回收，就会成为游离于管理体系之外的“永久后门”。本规范的目的就是把这个组合的风险关进可审计、可回收、可追责的笼子里。

本规范适用于所有为甲方提供运维服务的外部人员，包括但不限于：

?服务器/网络/数据库运维外包商驻场人员

?桌面支持、机房值守类外包人员

?短期驻场实施、割接、搬迁类项目人员

?远程接入提供技术支持的外部厂商工程师

覆盖的资产范围：生产环境与办公环境的服务器、网络设备、数据库、虚拟化/云平台、堡垒机、监控平台、工单系统，以及机房物理门禁。

1.2术语定义

术语

定义

外包运维人员

与外包商签订劳动合同、在甲方现场或远程提供运维服务的非甲方编制人员

账号责任人

甲方对接该外包商的接口人，对所申请账号的授权范围与回收负最终责任

最小权限

仅授予完成当前任务所必需的最低权限与最短时限

堡垒机

集中管理运维会话、记录操作日志的跳板设备

临时刻账号

有效期不超过7天、用途单一、到期自动禁用的账号

1.3职责划分

角色

职责

信息化部门负责人

审批二级及以下权限申请；每季度签发权限复核结论

账号责任人（甲方接口人）

发起开通/变更/回收流程；确认外包