数据安全风险评估做到访问控制这一项，很多企业的自查方式是拉权限配置表：谁有什么角色、角色对应什么权限，表上看都对得上，就认为没问题。但评估机构进场之后，往往能从日志里翻出配置表上看不到的东西。
第一，配置和行为的差距在哪
配置表反映的是“应该谁能访问”，日志反映的是“实际谁访问了”。两者之间的差距就是风险。常见几种情况：离职人员账号没停用，权限还在，只是没人用，配置表上看正常;共享账号多人共用，日志里同一账号不同时段从不同IP登录，行为对不上;测试账号遗留在生产环境，权限比正式账号还大;批量导出没有单独审批记录，日志里却有大额导出行为。这些问题，只看配置表一个都发现不了。
第二，核查怎么做
配置加行为两条线交叉验证。配置线看角色设计是否合理、权限是否最小化、审批记录是否完整;行为线看日志里的登录地点、时段、操作类型、数据量，和配置表比对;比对出的异常项，再回头查是配置问题还是管理问题。
第三，接口权限不能漏
系统对外的API调用不走用户登录体系，用的是应用密钥或令牌，这类权限在配置表里经常被漏掉，但日志里调用量清清楚楚。评估时要把接口调用日志纳入核查，看密钥有没有定期轮换、调用方是否在白名单内、异常调用有没有告警。
第四，数达怎么做
数达做评估，权限这一块不是让企业填张表就完事，而是配置和行为两条线都过一遍，日志抽查有明确抽样规则，比对出的异常逐条落到整改台账。这件事费功夫，但恰恰是评估能不能查出真问题的分水岭。我们和紧密合作的权威机构一起跟到整改和复评，权限收回、账号清理这些动作改没改到位，复评时逐条核。
联系我们
联系地址
北京市海淀区互联网文化创意产业园22号楼
服务热线：
热线：400-113-3015
售前热线
售前：15510626229
电子邮箱
邮箱：shuda@datatosec.com