1. 身份安全核查概述
各位好，我是老周。今天开始咱们聊身份安全核查。说实话，做了十几年安全审计，我最大的感触就是——身份安全是所有合规的基石。你想想看，防火墙配得再严，加密算法再强，如果连谁在访问系统都搞不清楚，那一切等于零。
我记得刚入行那年，帮一家金融客户做审计。对方网络架构很漂亮，漏洞扫描也全绿。结果我一查日志，发现三个离职员工的账号还在活跃。嗯，这就是典型的“身份失控”。从那以后，我每次做审计，第一件事就是查身份。
核心观点：身份安全核查不是合规的“选修课”，而是“必修课”。没有身份基线，其他安全措施都是空中楼阁。
身份安全在合规审计中的核心地位
为什么身份安全这么重要？说白了，合规审计的本质就是回答三个问题：
- 谁在访问？——身份确认
- 能做什么？——权限控制
- 做了什么？——行为审计
你看，第一个问题就是身份。我在项目中遇到过不少企业，花大价钱买了SIEM、买了堡垒机，结果身份源本身一塌糊涂。共享账号满天飞，特权账号没人管。这种环境下，你审计出来的数据根本没法用。
合规审计里，身份安全通常占整个检查项的30%以上。以等保2.0为例，三级系统的身份鉴别类要求就有十几条。我个人的习惯是，拿到审计任务后，先画一张身份拓扑图，把账号、角色、认证方式全部标出来。这张图往往能暴露一半的问题。
我的经验：审计时别急着看策略配置。先问IT部门要一份“当前活跃账号清单”和“最近90天离职人员名单”。交叉比对一下，基本就能判断这家公司的身份管理水平。
身份安全与访问控制（IAM）的关系
IAM（Identity and Access Management）是个大概念，身份安全只是其中的一部分。但这一部分，恰恰是最关键的。我习惯用一个简单的分层模型来理解：
这个图我每次培训都会画。你看，身份安全在最上层，它关注的是策略、流程和治理。IAM在中间层，提供技术能力。最下面是基础设施，承载身份数据。审计的时候，三层都要看。
我举个例子。有一次审计，客户说他们用了Azure AD，IAM工具很先进。结果我一看，身份库里的用户属性全是空的，连部门、岗位都没填。权限分配全靠手动写死。这就是典型的“上层策略缺失，中层工具白搭”。
避坑指南：我曾经见过一家公司，上了全套IAM产品，但身份安全依然不及格。为什么？因为他们的账号创建流程是：HR发邮件 → IT手动建账号 → 三个月后没人记得删。工具再好，流程不闭环，等于零。
身份安全核查的法规依据
做合规审计，法规依据就是我们的“尚方宝剑”。目前国内最核心的两个标准是等保2.0和ISO 27001。我整理了一个对比表，方便大家理解：
| 维度 | 等保2.0（GB/T 22239-2019） | ISO 27001:2022 |
|---|---|---|
| 身份鉴别 | 三级系统要求双因素认证、登录失败锁定、超时退出 | A.8.5 要求身份管理覆盖全生命周期 |
| 访问控制 | 强制访问控制、最小权限原则、三权分立 | A.8.3 要求基于角色的访问控制（RBAC） |
| 审计要求 | 日志留存180天以上，覆盖所有用户行为 | A.8.15 要求记录特权操作和异常行为 |
| 特权账号 | 单独管理，定期更换口令，使用堡垒机 | A.8.4 要求特权账号纳入专门管理流程 |
| 检查方式 | 现场核查+技术测试+文档审查 | 内部审计+外部认证审核 |
我个人习惯把等保2.0当作“底线标准”，把ISO 27001当作“最佳实践”。等保是强制性的，过不了就挨罚。ISO是自愿性的，但能帮你把体系建得更完善。
这里我多说一句。等保2.0里关于身份安全的要求，其实非常细。比如三级系统的“身份鉴别”控制点，就包含了：
- 应对登录用户进行身份标识和鉴别
- 应提供两种或两种以上组合的鉴别技术
- 应启用登录失败处理功能
- 应限制非法登录次数和登录超时
- 应对用户身份鉴别信息具有防窃听、防重放措施
你看，每一条都很具体。我在审计时，会逐条对照，一条一条过。曾经有个客户，觉得“登录失败锁定”太麻烦，设成了10次。结果被暴力破解了。嗯，这就是典型的“合规要求不是摆设”。
实用技巧：做身份安全核查时，我建议你准备一份“法规对照清单”。左边写等保/ISO的要求，右边写客户的实际配置。一条一条打勾。这样审计报告写起来又快又准，客户也挑不出毛病。
好了，身份安全核查的概述就聊到这儿。记住一句话：身份是安全的边界，合规是身份的底线。后面我们会深入每个技术细节，从账号生命周期到特权访问管理，一步步把身份安全核查做透。