近期，工信部印发《电信和互联网行业提升网络数据安全保护能力专项行动方案》（以下简称《方案》），提出在今年10月底前完成全部基础电信企业（含专业公司）、50家重点互联网企业以及200款主流APP（手机应用软件）的数据安全检查。值得关注的是，《方案》要求“企业内部各相关主体和环节严格落实操作权限管理”。

数据安全中权限管理是访问控制的重要部分，其最重要的作用是依据业务需求以及安全需求，尽量使业务相关方有访问对等资源并进行被授权的操作。

权限管理需要遵循以下几个重要原则：

权限最小化原则，也称最小授权原则或者最小特权原则，要求确保主体仅被授予执行任务和完成工作所必需的权限。权限最小化原则需要充分考虑主体的角色定义和岗位职责，结合业务场景分析主体在系统内的访问内容、方式、权限级别、时间限制等约束条件，并根据安全策略释放最契合业务需求又不多余的权限。

权限多人负责原则，指重要的权限、重要业务不要安排一个人单独管理，实行两人或多人相互制约的机制，一方面可以通过多级授权来监督权限的使用，另一方面可以通过双人复核来保障权限的严格控制和流程的准确无误。

职责分离原则是相对于不相容的权限来说的，要求不相容的权限要形成相互制约的关系。一般至少要求区分为系统管理员（管理用户和系统配置）、业务操作员（进行业务操作和业务配置）、审计员，形成相互监督、相互制约的关系。

银行因业务复杂，往往分工繁复和多元，权限管理是重中之重，收拢权限、加强访问控制才能保证系统数据不会被随意访问，个人信息不会被随意泄露。

我们建议应从以下方面加强权限的安全管理：

应根据业务来划分角色和岗位，可以根据系统功能、数据操作权限来确定系统最小化的角色，再根据业务岗位来分配一个或者多个角色，但权限的配置和发放应完全满足契合业务的需求，满足业务管理逻辑。

应根据业务需求结合安全访问控制策略，配置角色或者岗位的业务功能和操作权限，为系统配置仅提供角色承担其工作任务所需的最小权限的用户或用户组，除了可访问页面、可访问数据等内容维度外，为保证更小的权限和更细致的控制，也可以从时间、方式、权限等级等角度进行限制。

应预制系统中重要的用户角色和管理账户的权限，且应当在各角色之间形成相互制约的关系：

（1）管理用户、制定系统管理策略和进行系统管理的系统管理员角色；

（2）业务管理和配置业务策略的业务管理员角色；

（3）日志管理员角色；

（4）在用户创建时不允许其同时拥有不相容角色，否则应不允许创建此用户，并进行错误提醒（比如一个用户不能同时赋予其业务管理员和审计员的角色）。

仅仅是事前的权限控制策略有时候也不能杜绝所有越权行为，仍然有人在钻未知的空子来获得未授予的特权，比如黑客攻击越权方式、权限管理员舞弊方式、后门方式等，或者也有可能存在误授权或者过度授权，需要定期对授权行为进行审查，以发现其中的违规行为或者串通作弊行为。

特权修改直接避开严格的系统权限控制和事后审计，直接通过数据库或者操作系统进行修改，安全隐患极大，一旦被授权人有恶意、获利或者报复行为，可能严重破坏业务数据。特权使用下的权限授予就应当结合权限限制措施，比如时间窗口限制、多人复核操作、特权审计与异常情况报警，甚至需要签订严格的法律协议。

仅仅通过流程不能达到管理效果的，应建立专门的权限管理系统，或者将重要权限收归专门部门严格管理，由权限管理员进行统一权限分类与管理，定期审查授权行为与进行权限审计。

CFCA信息安全团队具有数据安全治理，数据安全及个人信息安全方面的咨询、评估服务经验与案例，可为各行业持续增强数据安全保护能力提供坚实的支撑。

责任编辑：韩希宇