| 风险 | 权力集中、操作无痕、共享难追溯 |
|---|---|
| 控制 | 审批开通、会话录屏、命令审计、定期轮换 |
| 回收 | 人员变动立即回收，季度核对清单 |
控制清单示例
控制清单示例
□ 特权开通有申请与审批记录？
□ 操作会话可录像或命令留痕？
□ 密码/密钥轮换周期是否有记录？
□ 离职人员特权是否即时回收？特权账号管理 PAM
特权账号（管理员、数据库超管、云账号 root）是审计重点：管理要求包括专人审批开通、定期改密或密钥轮换、操作留录、离岗即回收；共享特权账号应整改为个人账号。
易错点
- 共享 root 账号：出事无法定位到人，审计结论受限
- 开通无期限：临时权限多年未回收，风险累积
数据来源与参考
- ISO/IEC 27002 特权访问管理语境
- PAM 公开实践