企业账号权限管控方案.docxVIP

企业账号权限管控方案

我在企业做IT运维管理快十年了，这几年公司业务越做越大，大大小小的内部业务系统有十几个，员工规模也从几百人涨到小两千，前两年接连出了两起因权限管控不到位引发的安全事故，一次是离职员工没及时收回客户管理系统权限，带走了近千条核心客户信息，给销售部造成了快半年的业绩损失；另一次是新来的实习生误拿到了财务系统的导出权限，不小心把全公司的工资表发到了部门大群里，引发了很大的内部矛盾。这两件事之后，领导让我牵头做一套完整可落地的账号权限管控方案，解决之前混乱的管理问题。我梳理了公司所有现存的账号权限问题，结合我们的业务实际调整了无数次，最终做出了这套既能够防控数据安全风险，也不会影响正常业务推进的管控方案，以下是具体内容。

1方案背景与管控目标

1.1方案实施背景

我们之前一直采用粗放式的账号权限管理模式，员工入职想开什么权限，部门负责人一句话IT就给开，从来没有统一的规则梳理，也没人定期核查，随着公司规模变大、核心数据越来越多，权限混乱的风险早就累积到了一定程度，之前那两次事故其实就是给我们敲了警钟——要是再出更大的问题，比如核心技术数据泄露，那对公司的打击可能是致命的。再加上现在相关监管对企业数据安全的要求越来越严，不管是从合规角度还是企业自身经营角度，这套管控方案的推出都是刚需，绝不是为了做制度而做制度。

1.2管控核心目标

我们做这套方案一开始就定了三个清