工号治理创新实践：制度规范、审批流程与系统手段的综合应用

[摘要]本文从工号治理的角度出发，分析其现状，通过对工号管理制度、审批流程规范、权限分配和控制、离职、调动与非实名工号处理、一人多工号、工号活跃度管理以及高风险权限等方面进行深入分析，以cBSS为具体案例，制定系统化的解决方案，强调了规范化管理在提升企业效率和保障信息安全中的核心地位。

[关键词]工号治理；规范；审批流程；系统手段；稽核监控

一、案例背景

工号治理是公司信息安全与合规性的必要保障，工号不当管理会导致安全漏洞和效率问题，当前在工号治理过程中面临诸多挑战，如制度尚需优化改进、审批流程尚需规范且统一、系统支撑手段尚需补充完善等。通过建立科学的制度体系、优化审批流程、运用先进系统手段以及强化稽核与核查清理，这不仅能够增强企业的内部控制，也为数字化转型奠定坚实的基础。本文结合cBSS系统为例，工号数量庞大且权限管理复杂，只有管理制度、审批流程、权限角色、赋权操作、系统手段等各关键环节规范、有效协同，才能够构建起高效、安全的工号管理体系。

二、案例描述

（一）工号治理的重要性和现状分析

（1）工号治理的重要性

1、信息安全防线：规范工号使用可有效防止未授权访问，保护公司核心数据。

2、权限管理基础：合理配置工号权限，目标每位员工仅能访问与其职责相符的信息。

3、资源分配效率：精准管理工号，有助于优化资源配置，降低运营成本。

（2）工号治理现状

1、管理制度不够完善：缺少明确的工号实施细则，从制度层面对信息系统账号运营及安全管理进行规范。

2、审批流程不统一：各地市均有自己的工号权限审批流程，流程不统一，无法保证流程环节设置均可以符合要求，执行到位。

3、系统支撑手段不够：针对多人共用工号、审批后自动赋权等，还需要利用系统手段，减少人为干预，降低错误发生的可能性。

4、稽核与核查清理不彻底：缺乏定期的稽核机制和系统性的核查清理流程，导致无效工号累积，安全隐患增加。

（二）方案措施

（1）完善工号管理制度

数字化部下发《河北联通信息系统账号运营安全管理实施细则》，从制度层面对信息系统账号运营及安全管理进行规范。制度中包含了工号创建、变更和注销的明确规定，各部门及岗位对工号的申请、审批和撤销流程的明确规定，明确了权限管理要求，最小权限原则授权，减少权限滥用风险，明确每个工号都对应一个具体的责任人，强化责任追究机制，对违反工号管理规定的行为给予相应处罚等等，确保制度的透明性和可操作性。

（2）规范全省工号权限申请审批流程

规范的审批流程涉及权限分配的透明化和自动化，通过流程标准化，减少人为干预，降低错误发生的可能性，实现线上申请、自动流转、审批记录留痕功能。

优化省公司工号角色权限审批流程，强化审批管控环节，增加关键人审批以及审批人员实现名单制管理，提高工作效率，对审批过程进行监控和记录，确保审批过程的透明度和可追溯性。新建统一的地市工号角色权限审批流程，保证地市公司工号审批管理合规。

（3）利用系统手段实现管控

利用系统手段实现人脸登录、启用水印、控制多人共用工号等功能。

1、系统登录时采用短信验证码+人脸活体识别双认证，保证本人登录，杜绝多人共用工号。

2、打开水印开关，系统所有操作界面启用水印，防止被非法复制或篡改，保证安全。

3、系统登录时自动弹窗，要求用户在登录前签署电子版责任书《应用工号使用承诺书》，责任书中明确了用户的职责、权限、保密义务等，时刻警醒和安全宣贯。

4、启用“同一工号同一时间多终端登录”功能、启用“30天不登录进行工号登录锁定限制”功能，利用系统手段实现工号多终端使用限制，保证工号安全。

（4）开展工号各类特殊场景核查清理

开展以下各类特殊场景核查清理，以及增加后续稽核监控定期清理：

1、离职与调动：员工离职或调用时，权限未及时回收或调整，留下安全隐患，对比人力系统，提取离职和调动员工信息，全面核查处理。

2、非实名工号：非实名工号存在滋生信息泄露风险，工号未严格与个人身份关联，缺少了必须的身份证号、工号名称等信息，难以追溯操作者。统计系统中工号的关键信息身份证号、工号名称、手机号，缺少信息的补充完善。

3、一人多工号：员工因岗位变动等原因拥有多个工号，导致权限管理复杂，协调业务部门，逐一核实确认，除必须保留的业务工号外，合并或清理冗余工号。

4、高风险权限：统计高风险权限，提供业务部门组织核查，避免滥用或恶意操作。

5、工号活跃度：识别异常低活跃或高活跃工号，定期评估工号活跃度，对长期未使用的工号进行清理。

6、权限规范与回收：权限均按角色管理赋权，不允许单独菜单赋权，针对不同角色和职责，制定明确的权限分级，防止一人多权导致的安全隐患。

数字化部下发《cBSS系统工号管理规范化及问题整改通知》，明确全量核查清理方案，清理离职、非实名、调动等场景疑似问题工号1000+，失效收敛工号8000+。

（5）建立稽核机制

利用先进的技术手段，如审计日志、行为分析等，实施持续的稽核和监控，发现异常行为及时响应。建立基于系统预警的常态化工号稽核整改机制，自主开发离职、调动、非实名、非活跃工号等9类工号场景的自动化稽核、打标处理界面，各专业线能实时查看、处理、监控整改进度及检验整改结果质量，形成异常工号自动化稽核及整改的闭环管理，确保核查清理工作的有效性和及时性。

（三）分析总结

本文从工号治理的角度出发提出了如何通过建立规范的管理制度和审批流程，以及对高风险权限进行系统手段控制等措施来实现企业的规范化管理的建议。通过实施上述措施可以有效提高企业的信息化水平和管理能力，保障企业的信息安全和稳定运行。

总结全文，强调工号治理在企业数字化转型中的重要性，未来将需要不断探索和完善工号治理体系，以适应快速变化的信息环境。

参考文献

[1]李琳;数字化转型的公司治理效应研究综述[J];中国管理信息化;2024年07期