一、权限审计概述
各位同学好，我是老周。今天咱们开始这门《权限审计合规检查清单》的第一章。说实话，做了十几年安全审计，我见过太多因为权限失控翻车的案例。有的公司被罚到破产，有的高管直接进去喝茶。嗯，权限审计这事儿，真不是走个过场。
1.1 什么是权限审计
权限审计，说白了就是检查「谁、能干什么、干了什么」。它不是简单的查查账号有没有过期，而是一套系统性的评估过程。
我个人的理解是：权限审计 = 权限配置检查 + 权限使用监控 + 权限合规验证。这三块缺一不可。
核心定义：权限审计是对组织内所有数字身份所拥有的访问权限，进行系统性、周期性的检查与评估，确保权限分配符合最小权限原则、职责分离原则以及相关法规要求。
举个例子。我在某金融客户那里做过一次审计。他们一个普通运维人员，居然有生产数据库的 DDL 权限。我问他们为什么给，回答是「方便」。你看，这就是典型的权限失控。审计就是要揪出这种问题。
1.2 为什么需要权限审计
这个问题我问过很多学员。有人说是为了合规，有人说是为了安全。都对，但不全。
我总结了四个核心原因：
- 合规驱动——GDPR、SOX、等保2.0、PCI-DSS 都有明确的权限审计要求。不审计，就是不合规。
- 安全防御——内部威胁比外部攻击更可怕。我记得有个案例，离职员工用未回收的账号删了全库。这就是审计缺失的代价。
- 风险控制——权限过度集中、职责未分离，这些风险平时看不见，一出事就是大事。
- 运营效率——权限混乱会导致审批流程冗长、排查问题困难。审计能帮你理清头绪。
注意：不要等到被监管处罚了才想起做权限审计。我曾经服务过一家企业，被等保测评开了个严重不符合项，就是因为近两年没有做过任何权限审计。整改成本比定期审计高十倍不止。
1.3 权限审计的核心目标
目标其实就三个，我习惯叫它「审计三角」：
| 目标 | 说明 | 检查要点 |
|---|---|---|
| 准确性 | 确保权限与实际岗位职责匹配 | 是否存在僵尸账号、权限是否过期 |
| 合规性 | 满足内外部法规和制度要求 | 是否符合等保、SOX、GDPR 等要求 |
| 可追溯性 | 所有权限变更和操作都有记录 | 审计日志是否完整、能否回溯 |
你想想看，这三个目标如果都做到了，权限管理基本不会出大问题。但现实中，很多公司连第一个「准确性」都做不到。
1.4 权限审计的核心原则
做审计不能蛮干。我刚开始做这行的时候，也踩过坑。后来总结出几条原则，分享给大家：
- 最小权限原则——只给完成工作所需的最小权限。多一分都是风险。
- 职责分离原则——关键流程不能由一个人完成。比如申请权限的人和审批权限的人不能是同一个人。
- 定期复审原则——权限不是一劳永逸的。我建议至少每季度做一次全面复审。
- 默认拒绝原则——没有明确授权的，默认就是禁止。白名单机制比黑名单安全得多。
- 可审计原则——所有权限操作必须留下不可篡改的日志。没有日志，审计就是空谈。
避坑指南：我曾经遇到过一个客户，他们权限复审做得特别勤，每个月都做。但复审的时候只看系统里的权限列表，从来不跟实际业务人员确认。结果呢？一堆离职半年的账号还在系统里挂着。所以，复审一定要「线上+线下」结合，找业务负责人签字确认。
1.5 权限审计知识体系
下面这张图是我自己整理的权限审计知识体系框架。你可以把它当作这门课的地图：
这张图把权限审计拆成了六个层次。从顶层目标到底层输出，每一层都环环相扣。后面的课程，我们会按照这个框架逐一深入。
1.6 常见误区
最后，我给大家列几个常见的认知误区。这些都是我在项目里亲眼见过的：
| 误区 | 真实情况 |
|---|---|
| 权限审计就是查查账号 | 远不止，还包括角色、数据权限、操作行为等 |
| 一年做一次就够了 | 环境变化快，建议至少季度审计 |
| 有工具就不用人工 | 工具只能发现异常，判断是否违规需要人工 |
| 审计是IT部门的事 | 业务部门必须参与，他们最清楚谁该有什么权限 |
特别提醒：千万不要把权限审计做成「为了审计而审计」。我见过有公司为了应付检查，临时补了一堆审批单，但实际权限根本没变。这种掩耳盗铃的做法，一旦出事，审计和业务负责人是要承担法律责任的。
好了，第一章的内容就到这里。权限审计不是一门高深的技术，但它需要严谨的态度和系统的方法。后面的章节，我会带着大家一步步搭建完整的权限审计检查清单。咱们下章见。