3. 权限责任人确认
权限责任人确认是冗余权限清理的基石。本环节要求对每个权限条目明确四位责任人——申请者、审批者、使用者、复核者，并将责任关系固化为矩阵，避免权限归属模糊导致清理遗漏或安全事件后无法追溯。
适用场景
- 新建或盘点权限清单后，需要为每条权限绑定责任人。
- 权限变更（申请、审批、使用、复核）流程尚未标准化时。
- 组织架构调整或人员变动后，需要对已有权限重新确权。
- 审计或合规检查要求提供权限责任归属记录。
前置条件
- 已完成权限清单盘点（参见第2章）。
- 获取当前组织架构及岗位职责说明书。
- 明确各系统/业务模块的审批链（如经理→总监→安全管理员）。
- 准备好责任矩阵模板（包含权限ID、系统、资源、角色、申请者、审批者、使用者、复核者字段）。
操作步骤
- 提取权限条目：从权限清单中逐条提取权限ID、系统名称、资源路径和角色。
- 识别申请者：根据权限所属业务归属，确定发起权限请求的初始角色/岗位（如开发工程师、数据分析师）。
- 识别审批者：查阅该组织下该权限的审批策略，明确拥有批准或否决权的角色（如部门经理、安全负责人）。
- 识别使用者：确认实际执行操作或依赖该权限完成工作的人员/岗位（通常与申请者可能重合，但需单独记录）。
- 识别复核者：确定负责定期检查权限合规性、是否仍需要该权限的独立角色（如审计员、内控专员）。
- 填写责任矩阵：将上述四个角色填入模板，一人可同时承担多个角色，但复核者必须独立于审批者和使用者。
- 签署确认：由相关责任人（或直属上级）签字/电子签确认矩阵内容，录入变更记录。
输入输出物
| 类别 | 名称 | 格式 | 说明 |
|---|---|---|---|
| 输入 | 权限清单 | CSV / XLSX | 包含权限ID、系统、资源、角色等 |
| 输入 | 组织架构图 & 岗位职责 | PDF / 内部Wiki | 用于映射责任人岗位 |
| 输入 | 现有审批策略表 | XLSX | 审批链定义 |
| 输出 | 权限责任矩阵 | XLSX | 每条权限的四位责任人及签名 |
| 输出 | 确认记录报告 | 包括签署确认的截图/记录 |
责任边界
- 权限申请人：确保所申请权限与职责匹配，避免过度申请；对权限使用行为负责。
- 权限审批人：验证申请合理性、必要性；拒绝不必要或风险过高的权限；审批结果可追溯。
- 权限使用人：按需、合规使用权限；不得分享账户或权限；发现异常立即报告。
- 权限复核人：独立于审批和使用环节；定期（至少每季度）核查权限是否仍需要、是否被滥用；生成复核报告。
- 系统管理员/安全团队：维护责任矩阵数据完整性；触发权限变更时通知相关责任人。
最佳实践： 建议在责任矩阵中增加“备份责任人”字段，防止责任人离职或休假时权限管理中断。复核者可以由IT审计组或跨部门的安全专员担任，确保独立性。
记录材料
| 文件名称 | 保管责任方 | 保留期限 | 备注 |
|---|---|---|---|
| 权限责任矩阵 | 安全管理员 | 权限存续期+2年 | 每次审批更新时存档 |
| 责任人确认签字表 | IT合规经理 | 至少3年 | 电子签名或手写扫描件 |
| 复核报告 | 内部审计 | 5年 | 包含复核人签名 |
异常处理
常见异常及应对：
- 责任人无法确认（如权限归属模糊）：暂标记为“待确权”，由系统管理员冻结该权限使用，同时发起跨部门会签会议，限时3个工作日完成确认。
- 复核者与审批者同一人：违反职责分离原则，立即指派另一独立角色（如安全架构师）担任复核者，并在矩阵中备注原因。
- 责任人已离职或调岗：由该岗位直接上级暂代，并在矩阵中标注“临时”，要求在1周内重新确认正式责任人。
- 审批链缺失：若未定义审批者，默认由该部门负责人担任临时审批者，同时启动审批策略补充流程。
验收标准
- 权限清单中每一条权限均在责任矩阵中对应四位责任人（允许重复角色，但复核者不可与审批者、使用者相同）。
- 责任矩阵已由所有责任人（或其上级）确认签字，确认记录存档。
- 矩阵数据已录入权限管理平台（如果有），并能按责任人、系统、角色等维度查询。
- 复核者已确认至少一条权限的复核计划（如下次复核日期）写入矩阵。
- 异常处理记录完整，所有“待确权”权限不超过3个工作日未处理。