账号权限管理实施方案.docxVIP

账号权限管理实施方案

作为公司信息部负责信息安全管理的工作人员，前阵子我们接连碰到两起因账号权限管理混乱引发的风险事件：一件是离职了一个多月的销售，因为账号没及时注销，还能登录企业客户管理盘下载核心客户资料带走；另一件是新来的实习生误拿到了财务系统的编辑权限，不小心删掉了半个月的工资核算表，折腾了整整两天才从备份里恢复，耽误了全公司发工资。这两件事给我们敲了大大的警钟，之前各个系统的账号都是各部门自己申请自己开，没有统一规则，也没人定期清理，留下了太多安全隐患。为了彻底理顺公司所有内部系统、外部协作平台的账号权限管理，堵住安全漏洞，同时提升协作效率，我牵头结合我们之前踩过的坑，制定了这套可落地的账号权限管理实施方案，具体内容如下。

1实施背景与总体目标

1.1现存核心问题

结合我们之前对全公司所有在用系统的初步摸查，目前账号权限管理主要存在三个方面的问题。第一个是账号底数不清，很多两三年前离职的员工、结束合作的外包人员，账号还一直留在系统里，没人管也没人注销，相当于给外人留了“后门”，这次初步摸查我们就清出了八十多个没人认领的僵尸账号，想想都让人捏一把汗。第二个是权限分配不合理，很多岗位都是“给多不给少”，明明只需要看某一个模块的数据，却开了整个系统的权限，尤其是敏感的客户信息、财务数据、核心技术资料，不少无关岗位的人也能访问，风险极大。第三个是流程不规范，新入职开账号、调岗改