账号台账的字段
账号、姓名、所属部门、系统、角色、状态、创建与停用时间、最后登录。台账要与人事数据定期比对，差异就是风险清单，比人工回忆可靠得多，也比事后追查省时间，字段不必多，但每一项都要能比对，值得单独列一条。
授权与变更记录
每次授予与回收都要有工单号、审批人、时间与理由，并能对应到具体角色。没有工单的授权，事后无法解释为什么给，也无法判断是否仍需要，最后只能全部推倒重来，工单是唯一可信的凭据，很多团队会低估。
特权会话留痕
提权申请、授权时段、操作命令与录屏要一起保存。只留命令不留屏幕，遇到图形化操作就说不清；只留录屏不留命令，又难以检索。两者还要能按时间对齐，缺一样都会在实际审计中被追问，事后很难补。
复核签字与差异处理
季度复核要有清单、复核人签字与差异整改记录。复核发现的问题不闭环，下一次复核还会看到同样的条目，制度就变成了形式，参与的人也会逐渐不当回事，否则每个季度的复核都会变成空转，要有人负责。
边界：审计范围要界定
审计能证明配置与流程是否执行，不能替代对业务合理性的判断。哪些权限「该不该有」要由业务负责人确认，审计只负责把事实摆清楚、把判断留给业务。越界下结论容易引发争议，这条界限应当写进审计方案。
适用与不适用
适合谁
- 需要通过等保测评或客户安全审计的企业
- 账号数量多、权限变更频繁的组织，有台账基础
- 负责权限治理与内审的安全团队，要能举证
不适合谁
- 账号极少、变更不频繁的小团队，抽样意义有限
- 希望通过一次审计替代日常管理的组织
典型场景
某银行在内审中随机抽了一个客服账号，要求还原谁批准开通、授了哪些角色、期间有无提权、何时回收。团队用台账、工单与录屏在半天内拼出完整链路，同时发现两个角色已无业务用途，随后清理，内审据此调整了抽样口径。
可执行步骤
- 统一账号台账字段，接入人事数据做定期比对并输出差异清单，在工单里关闭。
- 每次授权与回收都绑定工单号、审批人与变更理由，在系统里留操作记录。
- 特权会话同时保存命令记录与录屏，支持按人、按时间检索，记录处理经过。
- 季度复核输出权限清单、复核人签字与差异整改记录，同步给部门负责人。
- 每季度随机抽一个账号做权限全生命周期还原演练，记录各环节的用时。
常见坑
- 台账靠人工维护，人一多就过期，审计时不仅没用，还会误导判断，很难补救，事后几乎没有补救办法。
- 授权有记录但回收没有，权限的生命周期只写了一半，现状永远说不清楚，事后也没人补得回来，出事时找不到源头。
- 只存录屏不做索引，想找一次操作得拖完整天的视频，实际上几乎没有人用，同类问题会重复发生。
- 复核发现的问题不闭环，下个季度的清单上还是一模一样那几条，制度变成纯粹的形式，影响面会持续扩大。
自检与验收清单
- 账号台账字段是否完整并与人事数据定期比对，含差异
- 每次授权与回收是否都绑定工单号与审批人，有理由
- 特权会话是否同时留存命令记录与录屏，可检索
- 季度复核是否输出签字与差异整改记录，含整改
- 是否定期抽账号做权限生命周期还原演练，能对账
常见问题
审计要查多少账号？
按风险抽样即可，重点覆盖特权账号、财务人事系统与近半年有变更的岗位。抽到的每个账号都要能还原全流程，深度比广度更能说明问题，也更容易发现系统性缺陷，抽样要留记录。
录屏涉及员工隐私怎么办？
限定录制范围在特权与生产操作，事先通过制度告知，并限制查看权限与保留期。只录不告知、谁都能看，容易引发争议，也不符合最小必要原则，事前告知是不可少的前提，不宜留到最后。
权限审计和等保测评什么关系？
等保测评检查基线是否落实，权限审计关注具体授权是否合理、是否可追溯。两者可以共用材料，但结论口径不同，不能互相替代，也不能拿一份报告应付两个场合，材料可以共用但结论分开写。