《企业访问控制策略落地指南》
第1章 访问控制概述
1. 访问控制概述
1.1 定义
访问控制（Access Control）是信息安全体系中的核心机制，指通过策略和规则限制主体（用户、进程、设备）对客体（数据、资源、系统功能）的访问能力及范围。它确保只有经过授权的实体才能在特定条件下执行允许的操作。
💡 通俗理解： 访问控制就像学校的门禁系统——只有佩戴相应胸卡的学生和老师才能进入对应楼层，且不同角色（学生/教师/管理员）能进入的区域各不相同。
1.2 目标
1.3 重要性
- 1 合规要求： 满足GDPR、等保2.0、SOX等法规对数据访问的管控要求
- 2 风险降低： 减少内部威胁、数据泄露和权限滥用风险
- 3 运营效率： 通过自动化权限管理减少人工审批和配置错误
- 4 业务连续性： 确保关键系统在安全前提下稳定运行
1.4 核心原则
原则一：最小权限（Least Privilege）
主体仅被授予完成其任务所必需的最小权限集合，且权限有效期与任务周期匹配。该原则可有效限制攻击面，防止权限蔓延。
📋 最小权限实施要点：
- 按角色定义权限基线（Role-Based）
- 默认拒绝（Default Deny）策略
- 定期权限审计与回收
- 临时权限使用后自动失效
原则二：职责分离（Separation of Duties, SoD）
将关键任务拆分为多个步骤，由不同角色或人员完成，避免单一个体拥有过多权限导致舞弊或错误。该原则是内部控制体系的基础。
📋 职责分离典型场景：
- 采购申请 ≠ 采购审批 ≠ 付款执行
- 代码开发 ≠ 代码审核 ≠ 生产发布
- 系统管理员 ≠ 安全审计员
核心原则对比总结
📌 课程要点： 最小权限与职责分离是访问控制的两大基石。最小权限解决“权限过多”问题，职责分离解决“权力集中”问题。两者结合可构建纵深防御的访问控制体系。
— 本节内容基于《企业访问控制策略落地指南》课程整理 —