performing-access-review-and-certification

name	performing-access-review-and-certification
description	开展系统性的访问审查和认证，确保用户拥有与其角色相符的访问权限。涵盖审查活动设计、审查员选择、基于风险的优先级排序、微认证策略，以及满足 SOX、HIPAA 和 PCI DSS 要求的整改跟踪。
domain	cybersecurity
subdomain	identity-access-management
tags	["iam","identity","access-control","access-review","certification","compliance","governance"]
version	1.0
author	mahipal
license	Apache-2.0

执行访问审查和认证

概述

开展系统性的访问审查和认证，确保用户拥有与其角色相符的访问权限。涵盖审查活动设计、审查员选择、基于风险的优先级排序、微认证策略，以及满足 SOX、HIPAA 和 PCI DSS 要求的整改跟踪。

目标

• 跨企业应用程序设计和执行访问审查活动
• 实现基于风险的审查范围优先级排序
• 配置审查员选择（经理、应用所有者、混合模式）
• 自动化权限数据收集和展示
• 跟踪不当访问发现的整改情况
• 为审计人员生成合规证据

关键概念

访问审查类型

1. 用户访问审查：经理认证其直属下属的所有权限
2. 权限审查：应用所有者认证拥有特定权限的所有用户
3. 角色审查：角色所有者认证角色成员资格和权限
4. 特权访问审查：安全团队审查高风险/特权访问
5. SoD 审查：验证没有用户存在职责分离冲突

基于风险的优先级排序

• 高风险：特权访问、财务系统、PII/PHI 系统、面向外部的应用
• 中风险：内部业务应用、共享驱动器、协作工具
• 低风险：标准员工工具、只读访问、公共信息系统

审查活动生命周期

1. 规划：定义范围、审查员、时间线、升级流程
2. 数据收集：聚合所有身份来源的权限数据
3. 分发：将审查项目分配给适当的认证员
4. 认证：审查员批准或撤销每个权限
5. 整改：撤销不当访问，执行时间线
6. 报告：生成合规证据和指标
7. 关闭：归档活动，将发现结果反馈到下一周期

实施步骤

第 1 步：定义审查范围和计划

• 识别在范围内的应用程序和系统
• 确定审查频率：季度（SOX）、半年、年度
• 定义活动时间线：审查期、升级日期、硬关闭
• 建立针对无响应审查员的升级链

第 2 步：数据收集和聚合

• 从每个应用程序提取用户-权限映射
• 与 HR 数据关联（在职员工、角色、部门、经理）
• 识别仍持有访问权限的离职/转岗用户
• 标记高风险权限（管理员、DBA、系统、特权）
• 根据权限敏感性和用户角色计算风险评分

第 3 步：审查员分配

• 经理审查：直属经理认证下属的访问
• 应用所有者审查：应用所有者认证其应用的所有用户
• 混合模式：经理审查标准访问，应用所有者审查特权访问
• 委派管理：允许审查员带审计跟踪地委派

第 4 步：执行认证活动

• 向审查员发送包含明确说明的通知
• 呈现带背景信息的权限（最后使用日期、风险级别、角色理由）
• 要求审查员明确批准或撤销每个项目
• 跟踪完成百分比并发送提醒
• 超过截止日期后升级至管理层

第 5 步：整改和跟踪

• 自动为撤销操作创建 IT 运维工单
• 设置撤销执行 SLA（高风险 24-48 小时）
• 验证撤销完成（重新检查权限）
• 异常管理用于有业务理由的偏差
• 记录所有带到期日期的异常

第 6 步：报告和证据

• 生成活动完成指标
• 生成每个应用程序的合规报告
• 创建审计就绪的证据包
• 跨审查周期跟踪趋势
• 将发现结果反馈到风险评估流程

安全控制

控制项	NIST 800-53	描述
访问审查	AC-2(3)	定期审查账户权限
账户管理	AC-2	账户生命周期管理
最小权限	AC-6	强制执行最小必要访问
职责分离	AC-5	SoD 冲突识别
审计日志	AU-6	访问审计记录审查

常见误区

• 橡皮图章：审查员不加审查地批准所有访问
• 范围不完整：审查活动遗漏关键应用程序
• 无整改跟踪：纸面上撤销访问但系统中未执行
• 审查员分配不一致导致覆盖缺口
• 未包含服务账户和非人类身份

验证清单

• 所有在范围内的应用程序已包含在活动中
• 已为 100% 的权限分配审查员
• 活动完成率超过 95%
• 撤销在 SLA 内执行
• 审计证据包完整且已归档
• SoD 违规已识别并记录
• 异常已记录业务理由和到期日期