离职三个月,他的账号还开着:老板看不到的权限漏洞

春武里工业区旁,隆瑞汽车零件有限公司做的是进口车用来令片生意,员工不到二十人。邱老板一手包办业务,老板娘管账,公司里唯一"懂电脑"的人是采购兼行政的颂西——她手上有云端进销存系统的管理员账号,也是公司LINE官方账号唯一的维护人。

去年十月,颂西因为业绩奖金分配跟邱老板大吵一架,当天下午就收拾东西走人,连交接都没办。过完年,邱老板发现一件怪事:原本只有隆瑞和另一家同行拿得到的德国原厂报价,竟然被工业区里新开的一家零件行拿去用,连折扣结构都一模一样。查了云端系统的登录记录才发现——颂西离职满三个月,账号从来没被停用过,她跳槽到那家新开的零件行之后,还在用旧账号登进隆瑞的系统看报价和客户名单。

这不是黑客攻击,连密码都没被破解——问题出在,没有人记得把门锁上。

为什么

账号权限的漏洞,很少是技术问题,几乎都是"流程断点"问题。员工离职这件事,同时牵动人事、直属主管、IT(或外包厂商)三个角色,但这三个角色很少被同一张表绑在一起。人事知道颂西哪天离职,邱老板知道她做过哪些系统,但真正握有"关账号"这把钥匙的,往往是最后才被通知、甚至根本没被通知的那一方。中小企业没有专职IT更惨——这件事常常没有"归谁管",结果就是没有人做。

国际上谈内部控制,最常被引用的COSO《内部控制—整合框架》把"控制活动"列为五大要素之一,访问权限管理正是其中最基本的一项:谁可以看什么、改什么、什么时候该被收回,都要有明确规则,而不是凭印象。另外两个经常被审计人员拿来对照的概念是"职责分离"与"最小权限原则"——一个人平常用得到的权限应该刚好够用,不多不少;而"审批开权限的人"和"使用这个权限的人"最好不是同一个人,否则就没有人能踩刹车。颂西的问题,刚好同时踩到这两条线:她一人身兼采购与系统管理员,而离职这个"人员变动事件"发生后,没有任何机制触发权限收回——这也是为什么客户数据外流常常不是被"黑"出去的,而是被"忘记关"出去的,这部分我们后面谈数据保护的时候还会再提到。

怎么做

把"离职"变成当天就启动的断开动作

与其事后追查,不如把"人员变动"直接绑定"权限变动"——做一张最基础的访问权限清单,列出公司实际在用的每一个系统:云端ERP/进销存、LINE官方账号后台、公司邮箱、网上银行转账权限、云网盘、办公室门禁卡与Wi-Fi密码。每个系统旁边写清楚"谁有权限""权限级别是什么"。员工离职当天,人事对照这张表逐一通知系统管理员关闭,并要求对方回报"已完成"——留下带时间戳的记录,而不是口头交代,万一日后出事,这份记录就是老板自保的证据。外包IT如果不是天天在场,合同里也要写明"接到离职通知后几小时内必须完成停权",不能靠对方有空才处理。