场景
"离职不是说了吗？系统权限我已经让IT关了啊。"
"那你告诉我，为什么他离职一个月后，邮箱还在正常收邮件？"
这是某涉密单位的一次月度安全审计中发现的问题。一位涉密人员离职后，邮箱权限没有被回收，导致该邮箱在离职后继续接收了十几封涉密相关的邮件。更离谱的是，这些邮件还自动转发到了他注册的个人邮箱。
不是IT忘了，是离职流程中"部门通知IT"这个环节出了问题——有人觉得"口头说过了"，有人以为"别人会做"，结果谁都没做。
涉密人员离职时的权限回收，是一个必须在明确清单、明确责任、明确时限下完成的工作。
权限回收的内容清单
涉密人员离职时，需要回收的权限至少包括以下8类：
首要类：信息系统账户权限
核心系统：涉密OA、ERP、CRM、项目管理系统的账户
协作平台：企业微信、钉钉、飞书、Teams等
代码和数据仓库：Git、SVN、数据库管理系统
知识管理：Wiki、知识库、FTP/网盘
每套系统都要确认账户被禁用或删除，不仅仅是"改个密码"。
第二类：网络安全接入权限
VPN账号：防止离职后仍然可以通过VPN接入内网
远程桌面连接权限
外网远程访问权限
堡垒机（跳板机）权限
离职人员只要还有一个VPN账号没关，就能从任何地方接入你的内网。
第三类：物理场所权限
工作区域的门禁卡
涉密场所的门禁卡
特殊区域的指纹、人脸、虹膜等生物识别权限
停车场的出入权限
生物识别权限容易被忽略——人脸和指纹进去了，一样可以接触涉密区域。
第四类：涉密设备权限
涉密计算机的使用授权
涉密打印机的使用授权
涉密复印机和扫描仪的授权
加密设备的使用授权
第五类：通信工具涉密渠道权限
专用保密电话线路
涉密视频会议系统
加密邮件系统
涉密即时通讯群组
很多涉密单位的IM群组在离职后没有主动清理，离职人员仍然可以收到群消息。
第六类：涉密系统和数据库的委托权限
是否是其他系统的管理员或备份管理员
是否有数据库的SA权限
是否有系统的代理操作权限
一个人离职，可能有好几个系统把他登记为"紧急联系人"或"备份管理员"，这些都要逐一解除。
第七类：未出账的审批流转权限
该人员是否还在一些未办结的审批流程中作为审批人
是否在财务系统中有报销和审批权限
是否在HR系统中有对其他人员进行操作的能力
这些"潜权限"只在有审批流转的时候才冒出来，需要逐一排查。
第八类：外部系统的企业级授权
如果该人员是企业微信/钉钉/飞书超管，需要在平台侧修改
云计算/云服务的IAM授权
第三方SaaS服务的账户授权
银行、税务、海关等外部系统的授权
这些外部系统的授权，一旦该人员离职后利用授权操作，后果很严重。
权限回收的"五个控制点"
控制点一：建立权限台账
每位涉密人员的所有权限都应该有台账。台账应当包括：系统/场所名称、授权类型、授权时间、授权期限、授权层级。没有台账，你都不知道要收什么权限。
控制点二：制定标准化的权限回收清单
每个涉密人员离职时，按照权限台账自动生成一份《涉密人员离职权限回收清单》。清单上列出所有需要回收的权限，标注回收责任部门和责任人。回收完成一项，责任人确认一项。
控制点三：设定回收时限
权限回收应当设定"倒计时"。建议在离职当天零时或离职次日上午8点前完成所有权限回收。不能在"方便的时候慢慢处理"——越拖越忘了。
控制点四：执行"双确认"机制
IT部门完成权限回收后，需要向保密办发送回收确认。保密办需要在离职后3个工作日内进行抽查，确认所有权限确实已经回收完毕。
控制点五：建立"回收失败"的升级流程
如果出现因技术原因无法回收权限的情况（如系统已下线无法操作），需要记录在案，启动升级流程——由保密办和IT部门共同制定替代方案，并在系统恢复时立即补齐权限回收操作。
权限回收的负责人划分
谁负责关闭权限？
系统账户和网络安全：IT部门负责执行
物理场所权限：行政或物业部门负责
涉密设备权限：保密部门或设备管理部门负责
外部系统授权：对口业务部门负责
涉密群组清理：群主或部门保密员负责
综合协调和督办：保密办负总责
谁来确认已经关闭？
每一类权限关闭后，执行人签字确认。保密办进行抽查确认。最终形成闭环——所有权限都确认关闭了，才算是权限回收工作完成。
权限回收的遗留风险
即使你和员工"和平分手"，权限回收还是可能出问题：
风险一：离职人员离职前复制了权限
权限回收只能保证离职后的使用，但离职前他可能已经完成了所有操作（数据下载、系统截图、权限复制等）。防范这件事需要靠离职前的监控系统。
风险二：权限关闭存在时间窗口
比如你在下午6点下班时关账户，但服务器时间同步有延迟、缓存有残留——离职人员如果在这段时间内通过缓存登录了系统，你永远不知道。
风险三：共享账户的误判
如果该离职人员的系统账户是多人共用的，关闭账户会影响到还在职的其他人员。需要逐一排查共享账户的权限归属。
风险四：忘记了某个小众系统
很多单位有一些冷门系统（如内部研发的专用工具、老旧无人维护的遗留系统、各部门自建的小型数据库），这些系统可能在权限台账之外。要定期排查。
5个权限回收的误区
误区一：离职人员自己说"已经交回"就行
不行。"交回"和"确认关闭"是两回事。必须由系统管理员进行操作和确认。
误区二：权限回收只回收业务系统
网络、物理、外部系统、委托关系——任何一项不关，都有隐患。
误区三：权限有密码保护就不着急
离职人员改了密码怎么办？离职人员电脑里有浏览器保存的密码怎么办？权限是"关"不是"防"。
误区四：权限回收一天内完成不了
标准权限回收流程设计合理的话，半天能搞定。太多环节靠的是人为沟通，不是流程本身的问题。
误区五：权限回收后就不用再管了
建议在离职后30天和90天各做一次"权限遗留确认"——确保没有遗漏的权限没有被关闭。
常见问题（FAQ）
Q1：如果离职人员用个人手机绑定了公司系统账号的MFA（多因素认证），离职后还需要处理吗？
需要。建议在权限关闭前，先解除该MFA绑定，然后启用系统内置的其他MFA策略。不能留着一个离职人员的MFA设备处于"已绑定但未验证"的状态。
Q2：权限回收后，离职人员已经下载的离线资料可以限制吗？
权限回收只能阻止他再访问系统，不能控制他已经下载的资料。需要结合数据防泄漏（DLP）和离职审计来评估哪些资料被下载了。
Q3：回收权限后，离职人员之前未完成的电子流程怎么办？
建议在回收权限前完成未办结流程的转交：将该人员作为审批人的未办流程转给其他人。在权限台账中做好记录，并在系统内操作转交后，再回收该人员的审批权限。
总结
涉密人员离职的权限回收，不是一件能"口头交代"的事情。需要清单、需要确认、需要闭环。
一张完整的《涉密人员离职权限回收清单》，罗列了所有需要的系统，标注了责任人和截止时间，由保密办统一督办——这才是规范的权限回收方式。
企密安提供涉密人员离职权限回收标准化方案，包括权限台账搭建、回收清单模板、流程设计等服务。欢迎联系我们。
*本文由企密安信息安全出品。转载请联系授权，侵权必究。*
