第三章 前置条件与输入准备：角色矩阵、资源清单、访问控制列表（ACL）、数据分类标签、历史审计日志
适用场景
本章适用于以下场景：
- 首次建立权限需求计算体系，需要确认基础数据源是否就绪；
- 既有权限体系升级，需要补充缺失的输入物；
- 审计或合规检查前，验证Reach与Impact计算的输入完整性。
前置条件
执行本章操作前，团队应完成以下工作：
- 已明确组织架构和岗位角色定义（至少到部门/职能组级别）；
- 已完成资产盘点，形成了一份可修订的资源清单草稿；
- 已有至少一个历史审计周期（如90天）的日志存储或导出能力；
- 数据分类策略（如公开/内部/机密/绝密）已获得管理层批准。
操作步骤
准备五类输入物的标准化流程如下：
| 步骤 | 操作内容 | 责任人 | 产出物形态 |
|---|---|---|---|
| 1 | 从HR或组织系统导出角色矩阵，包含角色ID、角色名称、所属部门、上级角色 | 权限管理员 | CSV/Excel |
| 2 | 核对资源清单，确保每个资源（API、数据库、文件、功能模块）有唯一标识符和类型 | 资产管理员 | 资产注册表 |
| 3 | 提取访问控制列表（ACL），包含主体、客体、权限类型（读/写/执行/管理） | 权限管理员 | ACL导出表 |
| 4 | 对资源清单中的每个资源打上数据分类标签（如L1～L4），并确认标签同步至ACL | 数据安全负责人 | 标签映射表 |
| 5 | 获取历史审计日志，覆盖至少一个完整业务周期，字段需包含时间、用户、操作、资源、结果 | 安全运营工程师 | 日志归档 |
关键提醒： 角色矩阵与资源清单是后续计算的基础维度，若缺失任一，Reach与Impact的量化结果将无法关联到真实主体或客体。
输入输出物清单
| 输入物 | 输出物 | 备注 |
|---|---|---|
| HR组织架构、岗位定义 | 角色矩阵（含层级、隶属关系） | 需定期同步 |
| 资产管理系统、CMDB | 资源清单（含唯一ID、类型、责任人） | 建议采用UUID |
| 已有授权系统（如AD、IAM） | ACL（主体/客体/权限三元组） | 需去重、格式化 |
| 数据分类策略文档 | 数据分类标签（资源→标签映射） | 支持多标签 |
| SIEM或数据库审计日志 | 历史审计日志（清洗后结构） | 保留至少90天 |
验收标准： 五类输入物均被采集并经过一致性校验（如角色无重复、资源ID不冲突、ACL无孤立条目、标签覆盖率≥95%、日志时间跨度满足需求）。任一不符合则退回对应步骤重新准备。
责任边界
- 权限管理员： 负责角色矩阵与ACL的准确性、格式标准化。
- 资产管理员： 保证资源清单的完整性，配合数据安全负责人打标签。
- 数据安全负责人： 定义数据分类标准，监督标签应用，审计标签一致率。
- 安全运营工程师： 确保历史审计日志无缺口、时间戳对齐。
- 架构师/主管： 最终验收五类输入物是否满足Reach/Impact计算需求。
记录材料
本章执行过程中需归档以下记录：
- 角色矩阵版本快照（含导出时间戳）；
- 资源清单与ACL的校验报告（异常条目数、解决状态）；
- 数据分类标签覆盖率检查表；
- 历史审计日志的采集时间范围与记录条数确认单。
异常处理： 若资源清单与ACL存在未关联的客体，应优先归因——可先创建“待确认”占位标签，待资产管理员确认后再正式纳入计算，避免因缺失导致Reach分母失真。
验收标准
| 验收项 | 标准 | 通过/不通过 |
|---|---|---|
| 角色矩阵 | 角色ID唯一，层级关系清晰，覆盖所有活跃岗位 | □ 通过 □ 不通过 |
| 资源清单 | 每个资源有唯一ID，无重复，至少包含名称、类型、责任人 | □ 通过 □ 不通过 |
| ACL | 三元组格式正确，无孤立主体或客体，权限类型符合预定义枚举 | □ 通过 □ 不通过 |
| 数据分类标签 | 标签覆盖率≥95%，标签值与策略一致 | □ 通过 □ 不通过 |
| 历史审计日志 | 时间跨度≥90天，字段完整，无超过5%的时间戳缺失 | □ 通过 □ 不通过 |
高效建议： 使用统一的数据模型（如JSON Schema）约束五类输入物的字段定义，可大幅降低后续清洗与转换的错误率。
异常处理
- 角色矩阵缺少层级关系： 临时填充“默认上级”（如“ROOT”），并在记录材料中标记待补，后续由HR确认后更新。
- 资源清单与ACL不匹配（孤立记录）： 输出差异报告，由资产管理员和权限管理员在24小时内联合排除；无法及时解决的，将孤立记录放入“隔离池”不计入计算，但需在报告中注明。
- 数据分类标签覆盖率低于95%： 优先对高风险资源（含机密/绝密）强制打标，其余资源使用“默认内部”标签临时填充，并在下一次迭代中补全。
- 历史审计日志缺失部分时段： 若缺失比例低于10%，可用近一个完整周的数据做线性插值；超过10%则要求安全运营工程师补充备份日志或重新采集。