账号权限定期复核：别等出事才想起谁有权限

权限从来不是一次性配置，而是会自己长大的东西：一个人换岗、一个项目结束、一次临时授权，都会在系统里留下多余的入口。定期复核的意义不是抓错，而是在失控之前把面收回来。

一、权限为什么会自己膨胀

绝大多数多余权限都不是恶意留下的，而是"顺手"积累的：项目临时加权限忘了收、换岗只加不减、新系统沿用老模板、外包人员账号到期没人管。这些叠加起来，就形成了没人说得清的全景。

• 换岗只加不减：职责变了，旧权限还在
• 临时授权常态化：说好一个月，实际用一年
• 共享账号：谁在用、谁在动，事后无法追溯
• 离职与外包到期：账号在，责任早已不在

二、复核范围与频率：不必一律

"全部账号每年复核一次"听起来整齐，实际效果最差。按风险分层给不同频率，才有可执行性。

三、判定标准：只有三类结论

复核表上最容易出现的失败项是"待定"。定不下来就等于没复核，所以每一项都必须落到三类结论之一，且每一类都绑定一个具体动作。

1. 保留：职责需要，写明理由，留档
2. 调整：权限过大或角色过时，降权或换角色
3. 回收：不再需要，明确执行人与完成时间

四、怎么让结论真的落地

• 谁确认谁签字，签字人是权限的现任责任人
• 批量回收要留痕：改了什么、什么时候、谁执行的
• 回收后通知本人，避免下一个人再走一次申请流程
• 涉及共享目录的，同步更新目录说明，别让下一位接手人重新摸索

五、把复核结果变成资产

复核真正的产出不是一张签完字的表，而是一份当前权限全景：谁能访问什么、依据是什么、下次什么时候再看。有了这份底表，下一次复核只需要核对变化项，工作量能减少八成。

另外建议把权限复核和离职清理串成一件事：离职清单里逐项对照权限表勾选，既不漏项，也顺便验证了权限表本身是否准确。