第三方运维人员的管理，是企业信息安全体系中存在感弱但风险贡献度高的管理盲区。第三方运维人员通常不在企业的人员管理体系之内，不直接接受企业的日常管理和纪律约束，却在信息系统中拥有较高的操作权限。如何在授权第三方运维人员完成工作的同时有效控制其行为对企业的信息安全体系不构成威胁，是每一个依赖外部IT服务的企业必须面对的问题。本文从授权管理、操作监督和合同约束三个方面，系统阐述第三方运维人员的管理规范。

一、授权管理的最小化原则

第三方运维人员的授权管理必须严格执行最小授权原则。第三方运维人员的系统权限应当精确限定在与其合同约定的维护范围和服务等级相对应的最小权限集合之内。例如负责服务器硬件维护的工程师不需要数据库的查询权限，负责操作系统补丁维护的工程师不需要应用程序的配置权限。最小授权的实现方式是在企业信息系统中为每种运维服务创建独立的运维角色模板，每个运维角色模板只包含完成该服务所必需的最少权限。第三方运维人员在承担多个服务时可以分配多个角色，但每个角色之间的权限不叠加到超过安全阈值。第三方运维人员的授权还应当设定明确的时间边界。合同约定的服务期限内授权有效，超出合同期限的系统权限应当自动过期。单次授权的有效期设置在最长不超过三十天，到期后需要运维人员重新申请临时授权。运维人员的授权应当绑定其所属公司的身份而不是其个人身份，当运维公司更换人员时应当重新进行身份认定和授权流程。

二、操作监督的审计机制

第三方运维人员操作的全程审计是监督管理的核心手段。企业应当在信息技术环境中部署堡垒机或操作审计系统，所有第三方向服务器、网络设备和数据库进行的运维操作都必须通过堡垒机进行操作。堡垒机记录每一次操作的起始时间、操作用户、目标设备、执行指令和操作结果。操作审计系统应当具备实时告警功能，当运维人员的操作超出授权范围或触发了安全规则时系统即时告警并同步推送至企业的安全运营中心。安全运营人员在收到告警后可以对运维人员的操作进行实时阻断或进一步观察。除了系统的自动审计之外，企业还可以对第三方运维人员的操作进行抽样人工复核。抽样复核的比例至少不低于百分之二十，抽样对象侧重于高权限操作、非工作时间操作和涉及敏感数据系统的操作。复核内容包括操作与运维工单的一致性、操作是否符合运维规范、操作是否产生了非预期的数据变更等。

三、合同条款的约束机制

第三方运维人员的管理不能仅靠企业的单方面管理措施，还需要通过合同条款将管理要求转化为法律约束。运维服务合同应当明确规定以下内容。运维服务商应当提供其指派至企业提供服务的运维人员的详细名单，并承诺名单中的人员无犯罪记录、无重大信息安全违规记录。运维人员在提供服务前应当接受企业组织的信息安全培训，培训内容包括企业的信息安全政策、运维操作规范和违规行为后果。运维人员应当签署独立的保密承诺书。运维服务商应当为其服务的运维人员购买专业责任保险，保险额度应当与企业秘密信息可能遭受的损失风险相匹配。运维服务商应当承诺在服务合同终止后按照企业的要求销毁或归还在服务过程中获得的全部企业秘密信息，包括但不限于系统配置信息、管理访问权限和运行日志。

四、现场运维的安全管控

第三方运维人员在企业现场进行系统维护操作时的管理，同样需要标准化流程。现场运维的申请应当提前一个工作日提交，申请内容包括运维时间、运维范围、参与人员、所需设备和预计工作时间。现场运维期间由企业的IT管理人员全程陪同，第三方运维人员不得在企业内部区域自行走动。现场运维使用的笔记本电脑或移动设备应当是运维服务商提供且经过企业安全检查的设备，禁止将运维服务商的设备接入企业非运维区域的办公网络。现场运维结束后，第三方运维人员应当立即退出全部仍在保持连接的远程维护会话，归还临时使用的工位和门禁卡，签署现场运维完成确认书。

FAQ

问：第三方运维人员离职后，其掌握的企业系统密码和配置信息如何保证安全？

答：运维服务合同应当约定运维服务商在运维人员离职时必须在二十四小时内通知企业。企业应当在收到通知后立即回收该运维人员持有的全部权限，同步检查该人员离职前七天内是否有异常的系统操作记录。运维服务商应当对离职人员签署保密义务持续有效的承诺。

问：第三方运维人员同时为多家企业提供运维服务，存在信息交叉泄露的风险吗？

答：存在。企业应当在运维服务合同中要求运维服务商在其内部建立独立的信息隔离机制，为不同客户配置独立的运维团队和运维环境。运维人员的运维终端应当使用独立的虚拟化桌面，不同客户的运维操作在不同的安全桌面中完成，运维数据不得在不同客户之间交叉留存和使用。

问：如何验证第三方运维人员是否在企业不知情的情况下保留了备份数据？

答：最有效的方式是行使合同约定的审计权，对运维服务商的运维工具、操作记录和设备存储进行独立的第三方安全审计。同时企业可以在运维过程中通过堡垒机记录和流量分析监控运维人员的全部操作，通过系统日志审查是否有未授权的大规模数据复制操作。

第三方运维人员既是企业IT运行保障的得力助手，也是信息安全管理链条中不可忽视的薄弱环节。通过最小权限、全程审计和合同约束三管齐下的方式，可以在最大限度发挥第三方运维价值的同时将安全风险控制在可接受的范围。

北京企密安信息安全技术有限公司 010-63711822 / jess@baomiwang.com