"这个人上个月已经走了"——审计时听到这句话，意味着账号可能还活着。账号回收滞后，是很多企业最容易被忽略、也最容易出事的环节。
一、为什么总会漏
- 账号分散在十几个系统里，没有统一视图
- 离职流程只到 HR 与部门，IT 往往事后才知道
- 有些账号是"临时开的"，从来没登记过
- 业务系统里有本地账号，不在统一认证范围
这四个原因，决定了单靠"记得清理"是不可能不出错的。
二、清理清单要覆盖这些系统
| 类别 | 典型系统 | 动作 |
|---|---|---|
| 身份认证 | 域账号、单点登录、邮箱 | 禁用并保留数据，数据按需转移 |
| 业务系统 | OA、ERP、CRM、工单 | 停用账号，回收角色权限 |
| 基础设施 | 服务器、数据库、网络设备 | 撤销账号与密钥 |
| 远程访问 | VPN、堡垒机、远程工具 | 撤销证书与授权 |
| 第三方平台 | 云服务、供应商平台 | 转移或注销账号 |
| 物理权限 | 门禁、钥匙、卡片 | 回收并注销卡片 |
三、执行要求：当天完成
- HR 在离职前一天通知 IT，IT 准备好清单
- 离职当日完成全部禁用，而不是"下周处理"
- 账号数据先保留、后移交，不建议直接删除
- 涉及共享账号的，全部改密
共享账号改密是易漏项
很多人知道的共享口令（例如某些设备的维护账号），在人员离职后必须更换。清单里要有这一项，否则会被长期忽略。
四、双人确认与留档
清理完成后由执行人与复核人双签，附上各系统的禁用截图或记录，归档保存。留档不是为了追责，而是为了在审计时能回答"当时确实做了"。
五、每季度回头查一次
抽出几份离职记录反向核对：账号是否真的禁用、门禁是否真的注销、共享口令是否更换。抽查本身会让流程更认真地被执行。
#账号回收#离职流程#权限清理#运维事业部
