职责分离是什么
职责分离（SoD，Segregation of Duties）防止不相容职责集中在同一个人身上：申请与审批、创建供应商与付款、开发与生产发布、配置修改与审计核查都属于典型冲突。目的是让单人无法既制造差错或舞弊、又掩盖痕迹，同时降低误操作风险。
怎么落地
实现方式分三层：用角色互斥矩阵定义不可兼任的组合，由系统在授权时校验，再通过定期扫描发现历史遗留的违规账号。小团队无法彻底分离时，用补偿性控制替代——例如付款双人复核、关键操作日志抽查。所有例外都要有书面授权与到期时间，不能默认长期存在。
基本信息
| 典型冲突 | 创建供应商与付款、开发与上线、配置与审计 |
|---|---|
| 实现方式 | 角色互斥矩阵 + 系统校验 + 定期扫描 |
| 补偿控制 | 双人复核、操作日志抽查、事后对账 |
| 例外管理 | 书面授权、限定范围与期限、到期重评 |
典型使用场景
- 财务系统：申请、审批、付款三个环节不得由同一人完成
- 开发运维：开发人员不直接持有生产变更权限
- 数据库管理：数据修改与备份恢复权限分离
- 账号管理：账号开通与权限审批由不同人执行
- 小团队代班：值班代班期间的越权操作需登记并复核
- 外包交付：供应商权限与内部审批权限不得重叠
互斥矩阵示例
互斥矩阵示例
角色 A：采购申请 角色 B：采购审批 → 互斥
角色 C：开发 角色 D：生产发布 → 互斥
角色 E：供应商维护 角色 F：付款执行 → 互斥
例外：临时兼任需授权记录 + 事后复核 + 到期日
扫描：每月导出账号角色清单，比对互斥矩阵生成违规清单冲突与补偿
| 场景 | 不相容职责 | 补偿控制 |
|---|---|---|
| 采购付款 | 供应商维护与付款执行 | 付款前独立复核并留痕 |
| 生产变更 | 开发与上线发布 | 变更审批与发布记录审查 |
| 数据修改 | 修改操作与备份恢复 | 操作日志抽查与定期对账 |
| 账号管理 | 授权审批与账号开通 | 开通结果由申请人确认 |
共享账号与超级管理员权限是 SoD 的常见破口：无法追溯到人的操作既不能审计，也无法在事件发生后界定责任。