2. 远程办公安全接入需求分析

需求分析是远程办公安全接入工程的第一道“设计关口”。如果跳过这一步直接选型或部署，最常见的后果是：权限给多了、设备管不住、业务访问路径绕远、审计数据缺失，最后不得不用补丁式策略反复打补丁。本节的目标不是罗列愿望清单，而是把“谁、用什么、访问什么、受什么约束”四类事实固化成一份可评审、可追溯、可验收的安全接入需求规格。

一、四个识别维度及其内在关系

需求分析围绕四个维度展开，它们不是并列的清单，而是相互约束的关系网：用户角色决定身份强度与权限边界；接入设备决定终端可信基线与通道能力；业务系统决定访问路径、协议与数据敏感级别；合规要求则对前三者施加最低控制底线。任何一个维度缺失，都会导致策略无法闭环。

二、用户角色识别：从“岗位”到“权限画像”

角色识别不能停留在“员工/非员工”的粗分。实际工程中，建议按身份来源、工作性质、数据接触面、访问时段四个属性建立角色画像。例如：

• 正式研发员工：公司配发笔记本，需访问代码仓库、CI/CD、测试数据库，访问时段集中在工作日 9:00–21:00，权限随项目组动态调整。
• 外包开发人员：自带设备（BYOD）或公司临时设备，仅访问指定项目仓库与缺陷系统，禁止接触生产数据库，账号有效期与合同周期绑定。
• 运维人员：需访问堡垒机、云控制台、监控系统，要求强 MFA 与操作录屏，权限按“最小必要 + 临时提权”管理。
• 高管与财务：访问 ERP、财务系统、合同库，数据敏感级别最高，要求设备强合规 + 水印 + 下载审计。
• 第三方/访客：仅访问会议、文档共享等低敏系统，账号一次性或短期有效。

每个角色应输出一张“权限画像卡”，至少包含：角色编号、身份源（AD/LDAP/HR系统）、认证方式（密码+MFA/证书/SSO）、可访问系统清单、数据敏感级别、允许的接入设备类型、访问时段、账号有效期与审批人。这张卡是后续策略配置的直接输入。

三、接入设备识别：终端可信基线

设备维度要回答三个问题：设备是谁的、当前是否可信、能承载什么通道。常见分类与要求如下：

设备识别结果应形成“设备准入矩阵”：哪些角色允许使用哪些设备类型，以及每种设备必须满足的合规检查项。检查项要可自动化采集，例如补丁版本、杀毒软件运行状态、磁盘加密状态、是否安装未授权软件等，否则无法在接入时实时判定。

四、业务系统识别：访问路径与敏感级别

业务系统识别要落到“协议—端口—路径—敏感级别”四个要素。以某企业为例：

• OA 系统：HTTPS 443，Web 访问，敏感级别中，允许 BYOD 通过浏览器访问。
• 代码仓库：SSH 22 / HTTPS 443，敏感级别高，仅允许公司设备 + 证书认证，禁止个人设备直连。
• 生产数据库：MySQL 3306，敏感级别极高，禁止直接暴露，必须经堡垒机跳转并录屏。
• ERP：HTTPS 443 + 客户端插件，敏感级别高，要求设备合规 + 水印 + 下载审批。

识别完成后，应绘制“系统访问路径图”，明确每个系统是直接暴露、经 VPN 接入、经零信任网关代理，还是仅通过 VDI 访问。路径选择直接决定后续网关、策略与审计点的部署位置。

五、合规要求识别：把底线变成可验收条款

合规要求不能只写“符合等保三级”，而要拆成可验证的控制项。例如：

• 身份鉴别：所有远程接入必须采用双因素认证，口令长度≥12位且90天更换。
• 访问控制：默认拒绝，按角色最小授权，权限变更需审批留痕。
• 数据传输：公网传输必须使用 TLS 1.2 及以上，禁止明文协议。
• 日志审计：登录、权限变更、敏感数据下载日志留存不少于6个月，且不可篡改。
• 终端安全：接入终端必须满足补丁、加密、EDR 三项基线，否则降级到 VDI 或拒绝。

这些条款要逐条对应到需求规格中的“控制目标”和“验收依据”，例如“验收依据：抽查30天内登录日志，MFA覆盖率100%”。

六、输出安全接入需求规格

最终交付物是一份结构化的需求规格，建议包含以下字段：需求编号、需求类别（角色/设备/系统/合规）、需求描述、控制目标、适用对象、优先级、验收依据、责任部门。下面给出一个可参考的示例片段：

需求编号：REQ-ACC-007
需求类别：接入设备
需求描述：外包开发人员使用个人电脑时，仅允许通过零信任网关访问测试代码仓库，
          禁止访问生产数据库与财务系统。
控制目标：最小权限 + 数据不落地
适用对象：角色=外包开发；设备=BYOD
优先级：高
验收依据：抽查10名外包账号，生产数据库访问记录为0；
          测试仓库访问均经网关代理且会话日志完整。
责任部门：信息安全部 + 研发管理部

完成本节的需求识别与规格输出后，后续的接入架构设计、网关选型、策略配置和审计部署都将以这份规格为基准。需求规格越具体，后续工程返工越少。