各部门（单位）：

根据信息系统管理规范和上级相关工作要求，为防范因角色权限配置不当、超范围授权、历史权限长期未回收等问题引发数据泄露和网络攻击风险，学校决定在全校范围开展“业务系统角色与权限不匹配”问题排查整治工作。现将有关事项通知如下：

一、工作目标

坚持“谁使用、谁负责”和“最小权限、职责分离”原则，以各业务系统为重点，全面梳理“岗位职责—角色—权限”对应关系，重点排查整治低权限角色访问高敏感数据、具备批量导出能力、拥有后台管理权限、接口越权访问、历史遗留权限未回收、高网络访问权限设备防护不严、人工智能智能体赋权过高等问题，推动权限配置与岗位职责相匹配，建立健全权限全生命周期管理长效机制。

二、工作对象

全校有管理系统、工单系统、运营后台、报表系统等业务系统的各部门（单位）。

二、排查范围

各业务部门要覆盖本部门主管和使用的业务系统、数据库与数据平台、API与接口、运维与基础设施、权限管理体系等对象，重点对照以下典型表现开展排查：

1.低权限角色访问高敏感数据，包括普通业务角色查看手机号、身份证号、银行卡信息、行为轨迹、财务数据等敏感字段明文；

2.低权限角色具备批量导出、离线下载、大规模查询等能力；

3.普通业务角色拥有用户管理、角色管理、权限配置、系统配置等后台管理权限；

4.接口仅校验登录状态，未基于角色、资源或数据范围进行访问控制，存在水平越权、批量查询越权、导出接口未鉴权等问题；

5.临时权限未回收、转岗权限残留、离职账号未注销等历史遗留权限问题；

6.工程师站、重点业务服务器、运维终端等高网络权限设备防护不严等问题；

7.人工智能智能体未遵循最小权限原则、权限动态调整不足、与系统或API集成时权限传递和边界控制不严格等问题。

三、主要任务

1.全面梳理权限，形成权限清单

各部门要对负责业务系统逐项梳理角色权限，建立“岗位职责—角色—权限”台账，填写《业务系统权限梳理清单》（详见附件1）。

2.针对典型表现开展问题核查

（1）核查账号

核查长期未使用账号、共享账号、默认账号、临时账号和高权限账号，结合日志审计与行为分析，对敏感数据查询、批量导出、异常访问等高风险行为进行分析，评估权限实际使用情况。

（2）校验接口权限

各业务部门系统负责人及权限管理员开展业务必要性确认，针对关键业务接口开展权限校验测试，重点核查是否存在水平越权、垂直越权及资源越权等问题。

（3）权限流程管理

结合数据敏感等级、权限影响范围、操作危险程度及权限使用频率等因素开展风险分级，同时核查权限申请、审批、变更及回收流程，确认是否存在审批缺失、超期未回收及权限变更无留痕等不规范行为。

（4）核查中间件及业务后台

重点排查 Web应用及数据库服务是否违规以最高系统权限启动，深入排查业务应用系统是否存在逻辑越权缺陷，核查普通访客账号或测试账号是否能调用超级管理员接口。

3.问题整改，建立长效机制

（1）开展无必要权限清理与权限收敛

各部门针对无业务依赖、长期未使用或超职责范围的权限，应及时开展权限收敛与高位权限清理工作。

（2）优化角色设计与模型权限

各部门根据实际业务需求和岗位职责，按需分配系统、网络、数据库及业务后台的最低必要权限，严格落实“最小权限原则”。

（3）建立动态授权与临时授权机制

针对偶发性高权限需求，建立基于申请、审批、时限控制及自动回收的动态授权机制，避免业务人员长期持有高危权限，实现权限按需申请、按时回收。

（4）建立权限生命周期管理机制

建立覆盖权限申请、审批、开通、审计变更及回收全过程的权限生命周期管理体系，实现权限管理流程化、规范化及可审计化。

（5）建立定期权限复核与审计机制

各业务部门定期开展权限复核及权限安全审计，由系统负责人及安全管理人员共同确认权限合理性，对普通用户的高危权限进行剥离。

（6）加强账号生命周期与异常行为管理

建立与人事系统联动的账号生命周期管理机制，在人员离职、转岗、岗位调整时自动触发权限注销或变更流程；同时对异常权限使用建立行为机制与告警机制，发现边缘账号的异常越权行为，立即联动阻断。

（7）加强对人工智能智能体的安全管控

严格落实“最小权限”原则，动态调整智能体权限，建立对智能体审计日志，记录智能体所有操作行为，及时发现和响应异常行为。

四、材料报送

请各部门（单位）根据要求报送业务系统权限梳理清单（附件1）和整治工作总结，总结内容要求包括突出问题、整改措施及成效、长效机制建设等。并将材料于11月9日前提交至刘念念邮箱：1020230707@jxstnu.edu.cn。

教育技术与信息中心

2026年10月30日