一、ISO/IEC 27001:2022 附录A.5.15 控制原文

二、条款解读说明

2.1 为什么A.5.15是访问治理的总纲

组织在后续可以拥有很多具体控制，如账号管理、MFA、审批流、角色模型、权限回收和日志审计，但如果缺少统一的访问控制原则，这些控制往往会碎片化。A.5.15解决的正是“访问应遵循什么总体规则”这一问题，例如是否坚持最小权限、是否按职责和分级授权、是否允许共享账号、何种场景需要双重控制、如何处理例外。

这一控制之所以重要，还因为它直接连接多个高风险场景：数据访问、系统管理、云平台、远程接入、第三方协作和敏感操作。如果访问控制只剩技术实现，没有清晰管理原则，组织很容易在业务压力下不断扩大权限边界，最终形成“谁都能看、谁都能改、谁都能导出”的失控状态。

2.2 关键要点拆解

2.3 访问控制为什么常常失效

访问控制失效最常见的根因并不是技术做不到，而是治理边界不清。例如，组织没有定义清楚哪些岗位本应具备哪些访问；临时权限开通后缺少回收；测试、生产和共享文档平台采用完全不同规则；业务要求一来，系统管理员凭经验直接加权限。A.5.15的作用，就是用统一基线约束这些行为，确保后续具体控制不至于各自为政。

三、实施要点

3.1 建立统一访问控制原则

• 明确最小权限、按需访问、职责分离、共享账号限制、敏感访问审批和定期复核等原则。
• 让这些原则适用于系统、数据、平台和服务，而不是只针对某一类应用。
• 对高风险访问场景设更严格规则。

3.2 用角色和场景控制访问

• 优先按岗位角色和业务场景定义访问边界，减少逐个用户随意加权。
• 对跨部门、跨系统和跨环境访问设额外审批或复核。
• 让业务负责人参与敏感访问授权判断。

3.3 处理高风险和例外访问

• 对管理权限、数据导出、生产环境访问和第三方访问建立专项规则。
• 临时授权应有时限、理由和自动回收机制。
• 避免将临时例外常态化。

3.4 与分级和资产清单联动

• 高价值资产和高等级信息应适用更严格的访问要求。
• 在访问策略设计中引用资产所有者和信息所有者责任。
• 不要把所有系统都按同一套授权逻辑处理。

3.5 定期评估访问控制有效性

• 通过权限审计、访问日志分析、异常访问监测和内审检查策略落地情况。
• 对“权限长期越积越多”的部门重点关注。
• 发现失控时及时回到规则层修正，而不是只删几条权限。

四、常用工具与实施方法

五、典型案例

案例一：为方便协作长期授予超额权限

1. 背景：企业多个共享目录权限几乎对全员开放。
2. 问题：敏感资料访问边界极其模糊。
3. A.5.15动作：按岗位和信息等级重构访问规则，收缩默认开放范围。
4. 结果：敏感信息暴露面明显下降。
5. 启示：方便性不能替代访问治理。

案例二：临时权限长期不回收

1. 背景：项目高峰期频繁申请临时高权限。
2. 问题：大量临时权限在项目结束后仍然存在。
3. A.5.15动作：建立时限化例外访问机制并增加自动到期控制。
4. 结果：长期残留权限显著减少。
5. 启示：例外管理是访问控制的重要组成部分。

案例三：第三方访问缺少统一基线

1. 背景：外包和供应商访问各系统方式不一致。
2. 问题：部分系统有审批，部分系统直接给共享账号。
3. A.5.15动作：统一第三方访问原则和敏感访问要求。
4. 结果：第三方访问更可控、可审计。
5. 启示：总规则比零散系统控制更关键。

六、成文信息管理要求

A.5.15的审核证据重点通常包括访问控制总规则、角色授权逻辑、例外管理和复核记录。审核员会特别关注规则是否在不同系统和流程中保持一致。

七、常见误区及踩坑提醒