符合所有审计师要求的用户访问审查

访问审查是最普遍、也最常在审计中失败的控制措施之一。各框架都要求有人定期核实每个人是否仍需要其当前拥有的访问权限。多数组织都会开展审查，但能向审计师证明审查完整、独立并已落实处理的组织则少得多。

各框架的要求

框架	访问控制	链接
NIST CSF 2.0	PR.AA-01PR.AA-05	主题定义
ISO 27001	A.5.15A.5.16A.5.18A.8.3	对照映射
CIS v8.1	CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5	对照映射
SOC 2	CC6.1CC6.2CC6.3	编辑说明
PCI DSS	7.2.17.2.27.2.48.2.1	对照映射
CMMC	AC.L2-3.1.1AC.L2-3.1.2	对照映射
800-53	AC-2AC-3	对照映射
HIPAA	§164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d)	对照映射
GDPR	Art.25(2)Art.32(1)(b)	编辑说明
NIS2	11.111.211.5	对照映射
Essential Eight	—	本站数据中无映射

完整详情及每条关联的依据： 访问控制 跨框架对照 →

PCI DSS 是唯一规定固定频率的框架：所有用户账户及权限至少每六个月审查一次（7.2.4），应用和系统账户同样适用（7.2.5.1）。SOC 2 审计师会测试访问权限的授权、变更和撤销是否恰当（CC6.2、CC6.3），并将定期审查作为证据进行查看。ISO 27001 要求以定期间隔审查访问权限（A.5.18）。HIPAA 要求进行信息访问管理并审查活动情况（§164.308(a)(4)）。CMMC 要求访问仅限于授权用户和职能（AC.L2-3.1.1、3.1.2），并遵循最小权限原则。

一次合格的审查

1. 完整的人员清单。 直接从系统导出用户列表（而非由人维护的电子表格），并包括服务账户和共享账户。
2. 合适的审查人。 系统或数据所有者，或各用户的直属经理，而不是授予访问权限的管理员。
3. 充分的背景信息。 向审查人展示每位用户的角色和访问级别，使“批准”成为知情决定。
4. 逐个账户作出决定。 保留、变更或删除，并记录审查人姓名和日期。
5. 确实完成变更。 为删除操作创建工单，并保留其已完成的证明。
6. 保留证据。 将导出清单、决定记录、工单和签核统一存放。

频率

将 PCI DSS 的六个月作为所有纳入范围系统的基准，并对特权访问每季度审查一次。如果您持有 SOC 2 Type II 报告，请确保每个观察期内至少有一次审查（最好两次）。

审计师会发现什么

• 走过场式批准：所有账户在几分钟内被批准，而审批人根本无从判断。
• 人员清单不完整：审查覆盖了应用程序但未覆盖数据库，或覆盖了人员账户却遗漏了服务账户。
• 自我审查：管理员批准自己的访问权限。
• 删除未完成：审查结论是删除，但账户数月后仍然存在。
• 离职人员由审查发现：这说明离职流程失效，审计师会另行测试。

核心要点

• 访问审查在审计中失败的原因在于证据而非投入：人员清单不完整、自我审查以及删除从未完成。
• 使用系统导出清单、合适的审查人、逐个账户的决定记录以及变更证明。
• 每六个月审查一次（PCI DSS 的规定），特权访问每季度一次，即可满足所有框架的要求。
• 将范围限定在重要系统上，并将操作环节自动化。

使其可持续

自动化导出和提醒，按系统而非按用户进行审查，并将范围限定在重要系统上：生产环境、客户数据、特权工具以及任何属于框架范围内的系统。规模更小、证据充分的审查，胜过范围庞大却总是逾期的审查。

另请参阅访问控制和特权访问主题页面，了解每项要求及其来源；以及我们的文章在 SOC 2、ISO 27001 和 PCI DSS 之间复用证据。

常见问题

用户访问应多久审查一次？

PCI DSS 要求至少每六个月审查一次用户账户和访问权限（7.2.4）。大多数其他框架要求定期审查，频率由您自行确定；特权访问每季度一次、其他访问每六个月一次，是常见的基准做法。

应由谁执行访问审查？

系统或数据的所有者，或用户的直属经理，而非授予访问权限的管理员。审计师会关注审查的独立性以及审查人是否掌握充分信息。

服务账户需要进行访问审查吗？

需要。审计师越来越多地将服务账户、共享账户和 API 账户纳入审查范围；PCI DSS 明确要求对应用和系统账户进行定期审查（7.2.5.1）。