performing-access-review-and-certification

执行访问审查与认证

概述

执行系统化的访问审查与认证，确保用户拥有与其角色相符的适当访问权限。本技能涵盖审查活动设计、审查人选择、基于风险的优先级排序、微认证策略以及整改跟踪，以符合 SOX、HIPAA 和 PCI DSS 要求。

何时使用

• 在执行涉及访问审查与认证的安全评估时
• 在遵循相关安全事件的事件响应流程时
• 在执行计划内的安全测试或审计活动时
• 在通过动手测试验证安全控制措施时

前提条件

• 熟悉身份访问管理概念和工具
• 可访问测试或实验环境以安全执行
• Python 3.8+ 并已安装所需依赖项
• 为任何测试活动获得适当授权

目标

• 在企业应用程序中设计并执行访问审查活动
• 为审查范围实施基于风险的优先级排序
• 配置审查人选择（经理、应用程序所有者、混合模式）
• 自动化权限数据收集与呈现
• 跟踪不当访问发现的整改
• 为审计人员生成合规证据

关键概念

访问审查类型

1. 用户访问审查：经理认证其直接下属的所有权限
2. 权限审查：应用程序所有者认证拥有特定权限的所有用户
3. 角色审查：角色所有者认证角色成员资格和权限
4. 特权访问审查：安全团队审查高风险/特权访问
5. SOD 审查：验证没有用户存在职责分离冲突违规

基于风险的优先级排序

• 高风险：特权访问、财务系统、PII/PHI 系统、面向外部的应用程序
• 中风险：内部业务应用程序、共享驱动器、协作工具
• 低风险：标准员工工具、只读访问、公共信息系统

审查活动生命周期

1. 规划：定义范围、审查人、时间线、升级
2. 数据收集：汇总来自所有身份来源的权限
3. 分发：将审查项分配给适当的认证人
4. 认证：审查人批准或撤销每项权限
5. 整改：撤销不当访问，强制执行时间线
6. 报告：生成合规证据和指标
7. 关闭：归档活动，将发现纳入下一周期

工作流

步骤 1：定义审查范围与计划

• 确定范围内的应用程序和系统
• 确定审查频率：每季度（SOX）、每半年、每年
• 定义活动时间线：审查期、升级日期、硬性截止
• 为未响应的审查人建立升级链

步骤 2：数据收集与汇总

• 从每个应用程序中提取用户-权限映射
• 与 HR 数据关联（在职员工、角色、部门、经理）
• 识别仍持有访问权限的离职/调动用户
• 标记高风险权限（admin、DBA、system、privileged）
• 根据权限敏感性和用户角色计算风险评分

步骤 3：审查人分配

• 经理审查：直接经理认证下属的访问权限
• 应用程序所有者审查：应用所有者认证其应用程序的所有用户
• 混合模式：经理审查标准访问，应用所有者审查特权访问
• 委托管理：允许审查人委托并保留审计轨迹

步骤 4：执行认证活动

• 向审查人发送带有明确说明的通知
• 呈现带有上下文的权限（最后使用日期、风险级别、角色理由）
• 要求审查人明确批准或撤销每一项
• 跟踪完成百分比并发送提醒
• 在截止日期后升级至管理层

第 5 步：修复与跟踪

• 自动向 IT 运维部门提交撤销工单
• 为撤销执行设定 SLA（高风险为 24-48 小时）
• 验证撤销已完成（重新检查权限）
• 对业务合理偏差进行例外管理
• 记录所有例外及其到期日期

第 6 步：报告与证据

• 生成活动完成度指标
• 生成按应用划分的合规报告
• 创建可供审计的证据包
• 跟踪跨审查周期的趋势
• 将发现结果输入风险评估流程

安全控制

控制	NIST 800-53	描述
访问审查	AC-2(3)	定期审查账户权限
账户管理	AC-2	账户生命周期管理
最小权限	AC-6	强制执行最小必要访问
职责分离	AC-5	识别 SOD 冲突
审计日志	AU-6	审查访问审计记录

常见陷阱

• 走过场：审查者未经检查就批准所有访问
• 范围不完整：审查活动中遗漏关键应用
• 无修复跟踪：仅在纸面上撤销访问，而未在系统中执行
• 审查者分配不一致，导致覆盖出现缺口
• 未纳入服务账户和非人类身份

验证

• 所有范围内的应用均纳入活动
• 为 100% 的权限分配了审查者
• 活动完成率超过 95%
• 撤销在 SLA 内执行
• 审计证据包完整并已归档
• SOD 违规已识别并记录
• 例外已记录业务理由和到期时间