| 周期 | 关键系统季度或半年，普通系统按年 |
|---|---|
| 范围 | 账号、角色、共享账号、特权账号 |
| 证据 | 复核清单 + 确认签字 + 移除记录 |
复核流程示例
复核流程示例
1. 系统导出全量账号与角色
2. 按部门分发给负责人确认
3. 标记保留 / 调整 / 移除
4. 执行移除并在下季度复核前抽查权限复核 Access Review
权限复核按周期核对“谁拥有什么权限、是否仍然需要”：由业务负责人确认用户清单与角色授权，移除离职与转岗残留权限，保留复核记录作为审计证据。
易错点
- 负责人全勾“保留”：复核流于形式，权限持续膨胀
- 共享账号无人负责：复核时找不到归属，长期滞留
数据来源与参考
- ISO/IEC 27002 访问控制要求语境
- 权限复核公开实践