供应商与外部协作接入的收口

供应商远程维护、物流对接、代理商查询等外部接入点也是暴露面：统一经堡垒机/网关接入，账号专用可审计，权限与时限明确，禁止共享账号与直连数据库。

收口要点

1. 通道：VPN/零信任网关/堡垒机，禁止点对点 VPN 私建
2. 账号：一人一号、按次开通、到期回收，不与内部账号混用
3. 权限：按合同最小范围；数据库只经应用接口，不直连
4. 审计：命令与会话录屏，异常行为告警
5. 退出：合作结束当日回收全部通道与账号

对账	季度核对供应商账号清单与在用合作清单
例外	临时通道设置有效期，到期自动关闭并通知双方

共享账号是审计链条上的主要断点：出了问题无法定位到人，责任无法追溯。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌