第2章 权限分类标准：按业务角色、系统功能、数据敏感度、使用频率对权限分层归类

2.1 适用场景

• 权限季度/年度审计：需要将存量权限按标准归类，识别偏离基线的高风险条目。
• 岗位变动（入职/转岗/离职）：依据角色-功能-敏感度映射表，快速判定权限是否应保留或回收。
• 合规整改前准备：等保2.0、ISO 27001、SOC2 等审计前，必须建立可追溯的分类台账。
• 系统合并或迁移：多套权限体系需归一化到统一分类框架，避免丢失或叠加冗余。
• 权限泛滥治理：已发现“一人多权”“僵尸权限”等异常，需用分类标准逐项定性。

2.2 前置条件

#	前置条件	交付物
1	完成权限数据全量采集（含AD、IAM、应用系统）	《权限原始清单》
2	组织架构与岗位清单已确认（HR部门签批）	《岗位职责矩阵》
3	业务系统功能模块清单已整理	《系统功能目录》
4	数据分级分类策略已发布（数据安全委员会）	《数据敏感度分级表》
5	权限使用日志可追溯至少90天	《权限使用审计日志》

2.3 四维分层分类模型

下图从业务角色（谁）、系统功能（做什么）、数据敏感度（面对什么）、使用频率（多久做一次）四个维度建立立体分类框架，每个维度由高到低形成层级，共同定位一个权限点的“归属坐标”。

2.4 操作步骤

1. 维度一：按业务角色归类
   • 提取岗位清单中的角色定义（管理员、审计员、操作员、访客等）。
   • 将每个权限条目匹配到对应角色，无法匹配的标记为“未归类-待确认”。
2. 维度二：按系统功能归类
   • 依据系统功能目录，为每项权限标定操作类型：读取、写入、修改、审批、删除。
   • 若一个权限涉及多种操作，按最高权限原则归入高等级类别。
3. 维度三：按数据敏感度归类
   • 对照《数据敏感度分级表》，将权限关联的数据资产标记为：机密、敏感、内部、公开。
   • 无法确定敏感度的数据，默认标记为“敏感”并提交数据安全委员会确认。
4. 维度四：按使用频率归类
   • 基于90天权限使用日志，统计每个权限点的调用次数。
   • 按阈值归类：每日使用→高频，每周使用→中频，每月使用→低频，90天未使用→静态。
5. 生成四维坐标
   • 为每个权限条目生成 (角色, 功能, 敏感度, 频率) 四元组，写入《权限分类矩阵》。
   • 对四元组进行冲突检测（如：角色=访客 且 功能=审批 → 异常组合）。

2.5 输入输出物

类型	名称	格式	来源/去向
输入	《权限原始清单》	CSV / Excel	IAM系统导出
输入	《岗位职责矩阵》	Excel / Word	HR部门提供
输入	《数据敏感度分级表》	PDF / Excel	数据安全委员会
输入	《权限使用审计日志》	CSV / JSON	日志平台导出
输出	《权限分类矩阵》	Excel / 数据库表	提交清理执行组
输出	《未归类权限待确认清单》	Excel	退回业务部门确认

2.6 责任边界

角色	职责	不涉及
安全工程师	制定分类标准，执行归类操作，生成分类矩阵	不负责敏感度定级，不修改业务角色定义
业务部门负责人	确认岗位角色映射，复核未归类权限	不直接操作权限标签，不触碰原始日志
数据安全委员会	发布并维护数据敏感度分级表	不参与单条权限的归类
IT运维	提供系统功能目录与权限使用日志	不判断权限是否冗余

2.7 记录材料

• 《权限分类矩阵》模板：包含字段 — 权限ID、用户、角色、系统功能、数据敏感度、使用频率、四元组、归类状态。
• 《未归类权限待确认清单》模板：包含字段 — 权限ID、用户、当前归属、无法归类原因、待确认方、确认期限。
• 归类过程日志：记录每一步归类规则、执行时间、执行人、命中条数。

四元组 JSON 示例（用于自动化归类脚本接口）：

{
  "classificationVersion": "2.0",
  "timestamp": "2025-07-11T14:30:00+08:00",
  "entries": [
    {
      "permissionId": "P-20240711-001",
      "identity": "zhang.san@company.cn",
      "role": "operator",
      "function": "write",
      "sensitivity": "internal",
      "frequency": "high",
      "quadTuple": "(operator, write, internal, high)",
      "status": "classified"
    },
    {
      "permissionId": "P-20240711-002",
      "identity": "li.si@company.cn",
      "role": "visitor",
      "function": "read",
      "sensitivity": "confidential",
      "frequency": "static",
      "quadTuple": "(visitor, read, confidential, static)",
      "status": "classified"
    }
  ]
}

2.8 异常处理

异常情形	影响	处理方式
权限无法匹配任何角色	该权限被跳过，分类矩阵出现缺口	标记为“未归类-无角色映射”，提交HR与业务负责人补录岗位定义
数据敏感度缺失（未定级）	无法判断是否越权	默认按“敏感”处理，同时向数据安全委员会发起定级申请，限时3个工作日内反馈
使用频率日志不足90天	频率维度无法准确归类	按已有日志覆盖天数折算，并标注“频率置信度低”，待日志补齐后更新
四元组逻辑冲突（如访客+审批）	分类结果不可信	将该权限列入《冲突清单》，由安全工程师与业务方联合裁定
批量归类脚本运行失败	分类任务延期	回退至手动分类模式，同时排查脚本错误（常见原因为字段格式不匹配、编码问题）

2.9 验收标准

1. 分类覆盖率 ≥ 98%：原始权限清单中至少有 98% 的条目成功生成四元组，未归类条目少于 2%。
2. 冲突率 ≤ 3%：四元组逻辑冲突的权限条目不超过总量的 3%。
3. 敏感度匹配准确率 ≥ 95%：抽样 200 条权限，与数据安全委员会复核结果一致率达标。
4. 频率维度可追溯：所有“静态”权限均可提供 90 天未使用的日志证明。
5. 文档完整性：《权限分类矩阵》《未归类清单》《归类过程日志》三份记录材料齐全、签批完备。