4. 身份权限安全评估标准与合规要求
身份权限安全评估不能只凭经验判断“像不像有问题”，而要把等保、ISO 27001、SOX、GDPR、零信任等外部要求，翻译成可采集、可判定、可复现的评估指标与检查项。本节的核心任务就是完成这次“翻译”：先看各标准关心什么，再把它落到身份数据、权限关系、认证行为和审计证据上。
一、五类标准各自关心什么
等保2.0（GB/T 22239）在身份鉴别与访问控制层面，重点要求身份标识唯一、口令复杂度与定期更换、登录失败处理、远程管理防窃听、访问控制粒度到主体与客体、最小权限与职责分离。它的特点是“有明确条款、有测评方法”，适合直接转成检查项。
ISO 27001 是管理体系标准，附录A中与身份权限相关的控制项包括访问控制策略、用户注册与注销、特权访问管理、身份信息保密、密钥与口令管理、访问权限评审。它不规定具体技术参数，而是要求“有制度、有执行、有记录、有改进”，因此评估指标要包含制度文件、执行记录和评审周期。
SOX 404 关注财务报告的内部控制，落到身份权限上就是：能接触财务系统、总账、报表配置的账号必须受控，权限变更要有审批，职责分离要能防止同一人既做业务又做审批。它的评估重点是“关键财务应用 + 特权账号 + 变更审批链”。
GDPR 从个人数据保护出发，要求对个人数据的访问遵循最小必要、目的限制、可追溯，并支持数据主体权利（访问、更正、删除）。落到身份权限上，评估指标包括：个人数据访问权限清单、访问日志留存、跨境访问控制、离职后权限及时回收。
零信任不是合规标准，而是一套架构原则：永不默认信任、持续验证、最小权限、假设被攻破。它给评估带来的变化是——不再只看“账号有没有权限”，还要看“每次访问是否经过动态判断”，包括设备状态、位置、行为基线、会话风险。
二、从条款到检查项的转化方法
转化时建议用一条固定链路：标准条款 → 控制目标 → 评估指标 → 检查项 → 证据来源 → 判定阈值。以“等保要求身份标识唯一”为例：控制目标是防止多人共用账号；评估指标是“账号与自然人一一对应率”；检查项是“抽查100个活跃账号，核对姓名、工号、部门是否唯一”；证据来源是IAM账号表与HR花名册比对；判定阈值是“重复或无法对应账号为0”。
再以零信任为例：控制目标是“每次访问都验证上下文”；评估指标是“高风险访问被拦截率”；检查项是“模拟异地新设备登录财务系统，观察是否触发MFA或阻断”；证据来源是认证日志与策略引擎日志；判定阈值是“高风险场景拦截率≥95%”。
下面这张图把五类标准映射到统一的评估维度，并给出每个维度对应的检查对象与证据来源，便于后续逐项落地。
三、可执行的检查项示例
把上面的维度落成检查项时，每条检查项都应包含“怎么查、查什么、什么算合格”。下面给出一份可直接用于评估准备阶段的检查表片段。
| 编号 | 检查项 | 对应标准 | 检查方法 | 合格判定 |
|---|---|---|---|---|
| IAM-01 | 活跃账号与HR在册人员一一对应 | 等保、ISO 27001 | 导出IAM账号表，与HR花名册按工号比对 | 无孤立账号、无重复账号 |
| IAM-02 | 离职人员账号在24小时内禁用 | 等保、GDPR | 抽取近3个月离职工单，核对禁用时间戳 | 回收时长≤24小时，比例100% |
| IAM-03 | 财务系统特权账号启用MFA | SOX、零信任 | 检查认证策略配置与登录日志 | 特权账号MFA覆盖率100% |
| IAM-04 | 职责分离冲突已识别并处置 | SOX | 运行SoD规则，输出冲突清单并核对处置记录 | 高风险冲突处置率100% |
| IAM-05 | 个人数据访问权限有业务依据 | GDPR | 抽取个人数据访问权限，核对申请单与目的说明 | 无无依据授权 |
| IAM-06 | 高风险访问触发动态验证 | 零信任 | 模拟异地新设备登录，观察策略引擎响应 | 拦截或MFA触发率≥95% |
四、评估实施中的关键注意点
第一，标准之间会重叠，不要重复采集。例如“离职回收”同时满足等保、ISO 27001 和 GDPR，只需设计一条检查项、一次取证，在报告中标注多标准覆盖即可。
第二，零信任类指标要区分“策略存在”和“策略生效”。配置了MFA不等于高风险场景一定触发，必须用模拟登录或历史日志回放来验证实际命中率。
第三，SOX 相关检查要锁定范围。不是所有系统都进SOX范围，应先把财务报告相关的应用、数据库、操作系统和特权路径圈出来，再对范围内的身份权限做检查，避免评估发散。
完成标准到检查项的转化后，评估工作就从“凭感觉找问题”变成了“按条款取证、按阈值判定”。下一阶段即可基于这些检查项设计数据采集脚本和访谈提纲，进入实际评估执行。