一、ISO/IEC 27001:2022 附录A.5.16 控制原文

二、条款解读说明

2.1 为什么A.5.16比“账号管理”范围更大

很多组织把身份管理等同于员工账号开通和回收，但现代环境中的身份远不止这些。除了人员身份外，还包括系统服务账号、API调用身份、自动化脚本身份、机器人流程身份、共享设备上的受控身份以及第三方协作身份。随着云平台、自动化运维和接口集成越来越普遍，非人身份数量迅速增加，且常常拥有较高权限。如果身份管理仍停留在传统员工账号视角，组织很容易出现大量“无人认领却持续有效”的高风险身份。

A.5.16的重点，是对身份进行全生命周期治理，确保每个身份都能回答以下问题：是谁创建的、对应哪个主体、因何存在、适用于哪些资源、何时到期、如何停用。只有这样，后续认证信息和访问权限控制才能真正可信。

2.2 关键要点拆解

2.3 身份管理与访问权限的边界

A.5.16关注“身份是什么、是否有效、是否可归属”；A.5.18更侧重“这个身份拥有什么访问权限”。两者高度关联但并不相同。现实中很多风险都出在A.5.16做得不扎实，例如过期账号未删除、服务身份无所有者、共享身份无法追责，这些问题即使后续权限流程存在，也很难完全补救。

三、实施要点

3.1 建立统一身份分类

• 区分员工身份、外包身份、第三方身份、服务身份、接口身份和临时身份。
• 为不同类别定义创建、审批、命名、到期和停用规则。
• 让身份治理覆盖所有主要访问主体。

3.2 强化身份唯一性和归属关系

• 尽量避免共享身份；确需存在时应有补偿控制和明确责任。
• 服务和自动化身份必须有对应责任人和用途说明。
• 确保身份名称和记录能够支持审计追溯。

3.3 把生命周期接入业务流程

• 与入职、转岗、离职、合同结束、项目结束和系统退役流程联动。
• 使新增和停用尽量自动化，减少遗留身份。
• 对长期未使用身份开展定期清理。

3.4 覆盖非人身份治理

• 对服务账号、密钥绑定身份和自动化任务身份建立专门管理要求。
• 记录用途、运行环境、所有者和有效期。
• 不要把非人身份视为技术细节而游离在治理之外。

3.5 周期复核身份状态

• 通过审计和技术清理识别孤儿账号、重复身份和长期未用身份。
• 重点关注高权限和第三方身份。
• 发现问题后与A.5.18权限复核联动整改。

四、常用工具与实施方法

五、典型案例

案例一：服务账号无人认领导致高风险残留

1. 背景：企业有大量自动化脚本账号。
2. 问题：多年后已无人知道其用途，但仍拥有生产访问能力。
3. A.5.16动作：开展非人身份清理，补充用途和责任人登记。
4. 结果：高风险孤儿身份显著减少。
5. 启示：身份管理必须覆盖非人主体。

案例二：转岗后保留旧身份映射关系

1. 背景：员工转岗后系统身份仍绑定旧部门角色。
2. 问题：后续权限复核难以判断其访问合理性。
3. A.5.16动作：把转岗事件接入身份变更流程，并同步更新归属关系。
4. 结果：身份与职责更加一致。
5. 启示：身份信息和组织角色变更必须同步。

案例三：共享账号使追责和审计困难

1. 背景：运维团队习惯共用部分管理账号。
2. 问题：关键操作很难还原到个人。
3. A.5.16动作：推动共享账号改造为个人身份+授权提升机制。
4. 结果：追溯性提升，操作边界更清楚。
5. 启示：唯一身份是审计和授权可信的前提。

六、成文信息管理要求

A.5.16审核时通常会关注组织是否维护了关键身份清单、身份分类规则、生命周期控制记录以及异常身份审计结果。仅有账号列表而没有归属和状态信息通常不够。

七、常见误区及踩坑提醒