IT网管一个人就能打开全公司的文件：特权账号谁来管？

先讲个真事。南方一家做精密五金的厂子，两百来人，就一个IT网管。老板对他放心得不能再放心——服务器是他装的，加密软件是他部署的，权限是他配的。后来网管被同行挖走，走的时候什么都没带走，规规矩矩交接。三个月后，竞争对手的产品结构图跟自家新一代产品几乎一模一样。查了半天，发现老网管在任期间，用管理员账号把共享服务器上的图纸目录批量"预览"过——审计日志里一条条记录清清楚楚，但当时没人看，也没人觉得一个IT看文件有什么问题。

问题不在人坏，在制度上没有"第二双眼睛"

每家公司都有这么一两个人：账号权限大到没边。域管理员、服务器root、数据库sa、加密系统的系统管理员……这些特权账号的持有者，理论上能看到所有文件、改所有配置、删所有日志。普通员工有部门主管管着、有审计盯着，特权账号反而处于"管外之地"——因为能管他的人，往往就是他自己。

这事的吊诡之处在于：企业防泄密的方案，很多恰恰是这些特权账号本人实施和运维的。加密软件、行为审计、日志系统，全是他在管。他要真动了心思，第一件事就是把自己抹干净。所以特权账号的风险，不能靠"人品好"来解决，只能靠结构和制度。

怎么管？四个动作把特权账号关进笼子

第一，能少给就少给。大多数企业的IT就一两个人，图省事，所有系统都用同一个超级管理员账号。实际上日常运维九成的操作根本不需要特权——给个普通运维账号就够了。把特权账号的数量压到最少，用的时候才启用，这是成本最低的一步。

第二，特权操作走审批，事后留痕。文件服务器的管理员读写、批量导出、解密审批这类高危操作，设置成需要第二人授权。哪怕第二个人就是老板本人，五分钟的审批也能形成制衡。同时，所有特权账号的操作必须强制审计——而且审计日志要写到特权账号自己够不着的独立存储里，防止"自己删自己的记录"。

第三，敏感区域对特权账号也设防。一个常见误区：以为上了加密软件，管理员就能看一切。其实成熟的做法是把"系统管理权"和"文件查阅权"分开——IT能管系统和策略，但看不到加密文件的内容；业务文件的密钥审批收在业务负责人或老板手里。IT换人、IT出事，资产不跟着走。

第四，人走账销，当日生效。前面案例里那位网管走得很"体面"，但特权账号的回收必须比交接更早：离职当日，特权账号全部停用或改密，审计日志单独封存一份。不要等"下周一再说"。

说到底，这是一道管理题

很多老板一听"IT要被监督"就不舒服——小公司就这一个懂技术的，防他不是寒了人心？换个角度想：好的特权账号治理不是不信任谁，而是保护所有人。网管日常接触海量敏感数据，一旦出了事，没有流程和日志，他百口莫辩；有了制衡和留痕，他清者自清，老板也不会把所有鸡蛋押在一个人身上。

上邦在帮企业做数据安全规划时，特权账号治理通常是第一步——因为它不花什么钱，见效却最快。把系统管理权和文件查阅权分开，把高危操作放进审批流，把审计日志放到安全的地方，这三件事做完，您企业最大的那个"隐形后门"就关上了。