向外包或合作伙伴共享研发资料时，权限问题往往在发出链接之后才暴露：谁还能打开、能不能下载、合作结束后是否收回。这份检查清单按“分享前定范围、分享中控权限、分享后可追溯”三个阶段组织，每项给出通过标准、证据与负责人，并单列必须停止外发的阻断项，供资料所有者、项目负责人、对外接口人和信息安全审核人逐项核验。
要点总览（TL;DR）
- 检查清单按“分享前定范围、分享中控权限、分享后可追溯”三个阶段组织，每个阶段都有明确的通过标准、证据和负责人。
- 分享前重点确认密级与可外发范围、外发对象身份、审批留痕和敏感内容脱敏，资格不成立时不进入分享动作。
- 分享中重点核对链接类型、访问名单、权限级别、有效期、操作限制和二次分享控制，配置结果要与审批范围一致。
- 分享后重点检查访问日志、权限回收、异常访问处置和定期复核，回收动作与合作节点绑定。
- 无审批外发核心资料、公开链接含敏感内容、无法追溯访问记录等属于阻断项，应立即暂停共享并升级处理。
谁在什么时点使用这份检查清单
这份清单服务于一次具体的外部共享行为，而不是日常权限治理的全量审计。它覆盖从决定外发到合作结束回收的完整周期，检查对象是文档、文件夹、知识库页面等知识对象本身的访问权限。账号体系、身份认证方式、终端安全和平台整体安全策略属于另外的管理范畴，本文不展开。
使用时先明确角色分工，再按阶段推进。同一人可能兼任多个角色，但每项检查必须有明确的责任人，避免“大家都看过了”却无人签字的情况。
| 角色 | 分享前 | 分享中 | 分享后 |
|---|---|---|---|
| 资料所有者 | 判定密级与可外发范围，完成脱敏 | 确认访问对象名单与权限级别 | 版本更新后复核内容是否仍适合外发 |
| 项目负责人 | 确认外发必要性，提交审批 | 核对链接类型与有效期是否符合合作约定 | 合作结束时发起权限回收 |
| 对外接口人 | 核实对方身份与保密条款签署情况 | 向对方说明使用限制，保留沟通记录 | 确认对方已停止使用并删除本地副本 |
| 信息安全审核人 | 审核审批记录与脱敏结果 | 抽查权限配置是否满足最小权限 | 检查访问日志，处置异常访问，组织定期复核 |
触发时点有三个：决定外发时启动分享前检查，创建分享链接时执行分享中检查，合作结束或文档重大版本更新时执行分享后检查。三个阶段之间存在依赖关系，前一阶段未通过，后一阶段不应开始。
分享前：范围、密级与审批检查项
分享前的核心判断是“这份资料是否具备外发资格”。资格不成立时，后续的链接配置再严格也无法弥补。下表各项全部通过，才进入分享动作。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 密级与可外发范围判定 | 文档已标注密级，且密级在可对外共享范围内；超出范围的资料已拆分或替换 | 文档密级标识、外发范围说明 | 资料所有者 |
| 外发对象身份确认 | 对方单位、对接人姓名与联系方式已核实，与合作协议中的主体一致 | 合作协议或保密协议签署记录 | 对外接口人 |
| 审批记录留痕 | 外发申请已由授权人批准，审批单包含资料清单、对象、用途和期限 | 审批单或审批系统记录 | 项目负责人 |
| 敏感内容脱敏 | 客户信息、个人信息、密钥、未公开的源码片段已删除或替换，脱敏后内容经复核 | 脱敏前后对照说明、复核记录 | 资料所有者 |
| 外发必要性说明 | 能说明对方使用该资料的具体任务，且该任务无法通过更小范围的资料完成 | 外发申请中的用途说明 | 项目负责人 |
密级判定容易走过场。实际操作中，建议把“可外发”定义为一份正面清单：哪些类型的文档在完成脱敏后可以直接外发，哪些需要逐份审批，哪些一律不外发。研发资料中的架构图、接口文档、测试数据、缺陷记录风险等级不同，按类型预设规则比逐份讨论更稳定。
审批记录要能回答三个问题：谁批准的、批准了什么、批准到什么时候。只写“同意外发”而缺少资料清单和期限的审批单，在后续回收和复核时无法作为依据。
分享中：链接、权限与访问控制检查项
分享动作执行时，检查重点是权限参数是否与审批范围一致。审批同意给三个人看两周，实际配置成组织内全员可访问且长期有效，就属于配置与授权不符。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 链接类型选择 | 外部共享使用指定人可见或带访问码的链接；公开链接仅用于确认无敏感内容的资料 | 分享设置截图 | 资料所有者 |
| 访问对象名单 | 名单与审批单一致，逐人添加，不使用“部门全员”等宽泛范围 | 权限列表截图 | 资料所有者 |
| 权限级别 | 按最小权限授予，只需阅读的不给编辑，只需评论的不给下载 | 权限配置截图 | 资料所有者 |
| 有效期设置 | 已设置到期时间，且不晚于审批单批准的使用期限 | 链接有效期设置截图 | 项目负责人 |
| 操作限制 | 按资料敏感程度关闭下载、打印、复制或转发，必要时开启水印 | 安全设置截图 | 资料所有者 |
| 二次分享控制 | 已确认对方无法将链接再次转发给名单外人员，或已约定转发需经我方同意 | 平台设置截图、沟通记录 | 对外接口人 |
链接类型是最容易出错的环节。公开链接一旦发出，访问者身份无法约束，也无法通过名单回收。对外包与合作伙伴共享研发资料时，默认应使用指定人可见的方式；确需使用带访问码链接的，访问码应通过与合作资料不同的渠道传递。
操作限制需要与资料类型匹配。设计稿、源码、测试数据集通常应关闭下载并加水印；纯说明性文档可以放宽到允许下载，但仍应保留有效期和访问日志。二次分享控制要落到具体约定上，例如在合作启动会上明确“链接仅限项目组成员使用，转发前须书面告知”，并保留会议纪要或邮件作为证据。
在文档权限配置这一环节，ONES 文档支持按人员或范围设置访问权限，并可对分享链接设置有效期与访问限制，使配置结果可以直接截图留存，作为本阶段检查的证据。审批通过的范围与最终权限配置是否一致，也可以在文档的权限记录中对照核查。
分享后：访问审计、回收与复核检查项
资料发出后，检查目标从“配置是否正确”转为“使用是否可追溯、结束是否可收回”。这一阶段最容易缺位，因为项目节奏一忙，回收就被推迟。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 访问日志可查 | 能查到每次访问的时间、访问者和操作类型，日志覆盖整个共享周期 | 访问日志导出记录 | 信息安全审核人 |
| 权限回收 | 合作结束或版本更新后，外部账号的访问权限已在约定时间内移除 | 回收操作记录、回收确认邮件 | 项目负责人 |
| 异常访问处置 | 发现非名单人员访问、集中下载等异常时，已暂停链接并完成原因说明 | 异常事件记录与处置结论 | 信息安全审核人 |
| 定期复核 | 按约定周期（如每季度）复核仍在有效期的外部共享，逐项确认是否继续需要 | 复核记录表 | 资料所有者 |
| 对方侧清理确认 | 已书面确认对方删除本地副本或停止使用 | 确认邮件或书面回复 | 对外接口人 |
回收动作要与合作节点绑定，例如验收完成、合同到期、人员离场，而不是依赖记忆。复核周期根据共享数量和资料敏感度确定，共享对象多、资料敏感度高时缩短周期。异常访问的处置路径应事先写明：谁发现、向谁报告、多长时间内暂停链接、如何记录结论。
ONES 的操作记录可以呈现文档的访问与权限变更情况，合作结束时的权限移除也会留下记录，便于在复核时对照审批单确认共享是否已全部收回。对于需要长期跟踪的外部共享，可以把复核责任落到具体人员，并在项目管理中设置到期提醒。
每项检查的通过标准与证据要求
检查项能否发挥作用，取决于判定口径是否统一。通过标准要写成可观察、可判断的表述，避免“权限设置合理”“审批流程规范”这类无法给出结论的写法。
写法上可以遵循一个简单结构：对象 + 状态 + 可验证的结果。例如“外部访问名单与审批单逐人一致，无额外人员”比“权限控制到位”更容易判断。每项标准应能由检查人独立复核，不依赖被检查人的口头说明。
| 证据类型 | 适用检查项 | 留存要求 |
|---|---|---|
| 审批单 | 外发审批、必要性说明 | 包含资料清单、对象、用途、期限、批准人 |
| 权限截图 | 链接类型、访问名单、权限级别、有效期 | 显示设置时间与操作人，与审批单可对应 |
| 访问日志 | 访问审计、异常访问 | 覆盖共享全周期，可导出 |
| 回收记录 | 权限回收、对方侧清理 | 包含操作时间、操作人和确认结果 |
| 沟通记录 | 二次分享约定、清理确认 | 邮件或会议纪要，含日期与参与人 |
证据留存位置应统一，例如按项目归档在同一个文档库或审批系统中，保存期限不短于合作协议约定的保密期限。证据分散在个人邮箱和聊天记录里，复核时往往找不到。
无法提供证据时的判定规则要明确：该项视为未通过，不得以“确实做过”替代。若证据缺失但可通过系统记录补取，允许在限定时间内补齐后重新判定；补取不到的，按未通过处理并进入整改。
阻断项与完成条件
以下情形一旦出现，应立即停止外发或暂停现有共享，不进入常规整改流程，而按升级路径处理。
| 阻断项 | 判定依据 | 处置与升级 |
|---|---|---|
| 无审批外发核心研发资料 | 缺少审批单，或审批范围不包含该资料 | 立即撤回链接，报告项目负责人与信息安全审核人，补办审批后方可重新外发 |
| 公开链接包含敏感内容 | 链接为公开可访问，内容含客户信息、源码或未公开数据 | 立即关闭链接，评估暴露时长与访问记录，按安全事件流程上报 |
| 无法追溯访问记录 | 访问日志缺失或无法覆盖共享周期 | 暂停共享，补齐日志能力或改为可追溯的共享方式后再恢复 |
| 访问名单超出审批范围且无法说明 | 实际访问人与审批单不一致，无追加审批 | 移除额外人员，追溯添加原因，必要时重新审批 |
| 合作已结束但权限未回收 | 超过约定回收时间仍可访问 | 立即回收，记录延迟原因，纳入复核整改 |
阻断项的处置要有明确升级路径：发现人第一时间暂停共享并通知项目负责人，涉及敏感内容泄露的同步信息安全审核人，由后者决定是否启动事件流程。处置结论要留痕，包括暂停时间、影响范围和后续动作。
整份清单的完成条件是：分享前、分享中、分享后三个阶段的必检项全部通过，且每项证据齐备、可对应到具体检查项和责任人。仅有检查记录而缺少证据的，不算完成。
有条件通过适用于影响有限且可限期补正的情形，例如非核心文档的审批单缺少用途说明、复核记录尚未归档。此类情形应列明补检事项、责任人和完成时间，到期未补正的转为未通过。涉及核心研发资料外发且缺少审批记录或访问日志的，不适用有条件通过，按阻断项处理。
常见问题
外包人员临时更换，新增人员能否直接沿用原分享链接？
不建议直接沿用。新增人员属于访问对象变化，应先确认其身份与保密协议签署情况，再按审批单追加或重新审批，并在权限列表中逐人添加。原链接如果是指定人可见，新增人员需要单独授权；如果是带访问码的链接，更换访问码并通知名单内人员，避免旧访问码继续流通。
合作方要求下载研发资料用于离线分析，检查清单如何处理？
下载属于操作限制项，需要单独判断。先确认资料密级和脱敏结果是否允许落地到对方环境，再在审批单中写明允许下载的范围和期限。开启下载后，访问日志和回收检查要相应加强，合作结束时书面确认对方删除本地副本。核心源码、未公开测试数据等资料，即使对方提出离线需求，也应按阻断项处理或改为受控环境内查看。
分享链接到期后，对方说还需要继续使用，能否直接延期？
延期相当于重新授权，应回到分享前检查：确认继续使用的必要性、使用范围和新的截止时间，补充审批记录后再调整有效期。直接延长原链接会绕过审批，也使原审批单中的期限失去约束作用。延期操作同样要留存截图，并在复核记录中说明原因。
访问日志显示有名单外人员打开过链接，但对方称是误转发，怎么判定？
按异常访问处置。先暂停链接，记录发现时间、访问者和访问次数，要求对方说明转发路径并确认是否已收回。若涉及敏感内容，同步信息安全审核人评估影响范围。处置结论要留痕，包括暂停时间、原因和后续动作。此类事件处理后，应复核二次分享约定是否需要在合作沟通中再次强调。
小团队没有专职信息安全审核人，检查清单还能用吗？
可以使用，但需要把审核职责落到具体人身上，例如由项目负责人兼任审核，或在团队内指定一名成员负责抽查权限配置和访问日志。角色可以合并，检查项不能省略。涉及核心研发资料外发时，建议至少由两人分别完成外发申请和审核确认，避免同一人既批准又执行。
