知识访问控制的风险检查，重点在于确认知识对象本身是否被正确识别和分级，授权是否与敏感度匹配，共享与外发路径是否可控，以及人员异动、项目结束等时点权限是否及时回收。这份清单面向知识库管理员、文档Owner、项目负责人和安全评审人，用于新库上线前、季度复核、策略变更和人员异动等场景，范围限定在文档、目录、附件、知识库的可见、编辑、共享与导出权限。ONES文档与知识库可作为承载对象分级、权限配置和复核记录的协作平台，本文按检查阶段说明具体做法。
要点总览（TL;DR）
- 检查按四条主线推进：知识对象与分级、授权主体与权限粒度、共享外发路径、权限回收与生命周期。
- 每项检查写成可观察的通过标准，并配可留存证据和单一结果责任人，避免清单停留在建议层面。
- 敏感知识全员可见、外部分享无审批、离职人员权限未回收、导出无日志等应列为阻断项，限期整改并复检。
- 完成条件是阻断项全部关闭、非阻断项有整改计划和责任人、三态记录完整并归档，作为下次复核的基线。
谁在什么时点使用这份检查清单
这份清单解决的是“谁在什么时候检查哪一段”的问题。知识访问控制涉及多个角色，若职责不清，容易出现管理员只查配置、Owner只关心内容、安全评审人最后才发现问题的情况。使用前先按下表确认本次检查的触发时点和主责人，再进入对应阶段。
| 使用角色 | 主要职责 | 典型触发时点 | 重点检查阶段 |
|---|---|---|---|
| 知识库管理员 | 维护目录结构、权限配置与共享设置 | 新知识库上线前、共享策略变更 | 对象与分级、授权粒度、共享路径 |
| 文档Owner | 确认所负责文档的分级、授权对象与接收方 | 季度权限复核、文档版本替换 | 对象与分级、授权主体、权限回收 |
| 项目负责人 | 确认项目知识库的成员范围与结项后的权限收缩 | 项目结项或阶段结束 | 授权主体、权限回收 |
| 安全或合规评审人 | 抽查高风险授权、外发记录与整改结果 | 季度复核、重大共享变更、复检 | 共享与外发、阻断项复检 |
检查范围限定在知识对象权限：文档、目录、附件、知识库的可见、编辑、共享、导出权限。企业统一身份认证、单点登录配置和平台级安全政策不在本清单范围内，这些内容应由身份与安全团队按各自规范单独评审。若检查中发现权限异常源于账号体系或平台策略，应记录并转交对应团队，不在此清单内直接判定。
第一阶段：知识对象与分级检查项
授权之前先确认对象本身是否被正确识别。对象清单不完整或分级缺失时，后续权限配置再细也可能建立在错误范围上。本阶段由知识库管理员牵头，文档Owner配合确认。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 知识对象清单完整性 | 文档、目录、附件、知识库均有清单记录，数量与平台实际对象一致 | 对象清单导出记录、目录截图 | 知识库管理员 |
| 密级或敏感级别标注 | 每个知识对象有明确级别，标注规则统一且有书面说明 | 分级规则文档、抽样对象标注截图 | 文档Owner |
| 无主文档与重复副本 | 不存在无责任人的文档；重复副本已合并或标注废弃 | 无主文档清单、副本处理记录 | 知识库管理员 |
| 历史遗留目录 | 历史目录已归档或明确标注状态，不处于可编辑的活跃路径 | 目录状态截图、归档记录 | 知识库管理员 |
| 对外共享类知识存放 | 对外共享类知识与内部知识分开存放，目录边界清晰 | 目录结构截图 | 文档Owner |
这一阶段常见的风险是“对象存在但没人认领”。无主文档往往继承上级目录的宽泛权限，成为权限失控的入口。检查时可按目录逐层抽样，确认每个活跃目录都有明确Owner，附件单独存放的也要纳入清单，避免只查正文文档而漏掉附件。
第二阶段：授权主体与权限粒度检查项
本阶段检查谁被授予了什么权限，以及粒度是否与知识敏感度匹配。重点识别绕过角色体系的直接授权、过宽的继承权限和长期未复核的高权限账号。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 授权对象类型 | 授权以角色或用户组为主；直接授权个人的情况有说明和审批 | 权限配置截图、直接授权清单 | 知识库管理员 |
| 权限粒度区分 | 查看、评论、编辑、管理、分享、下载导出按需区分，敏感知识不默认开放编辑与导出 | 权限角色配置截图 | 知识库管理员 |
| 权限继承关系 | 子目录继承关系已核对，不存在因子目录继承导致权限过宽的情况 | 继承关系说明、抽样目录权限截图 | 文档Owner |
| 高权限账号复核 | 超级权限账号和全员可见设置均有复核记录，保留必要性和审批人 | 高权限账号清单、复核签字记录 | 安全评审人 |
高风险授权模式通常有三类：敏感目录设置为全员可见；个人被直接授予管理或分享权限且无到期时间；子目录继承了上级的编辑权限，而上级目录范围远大于实际需要。检查时把这三类单独列出，逐条确认是否有业务必要性和复核记录。权限粒度方面，分享与下载导出应作为独立权限看待，能查看不等于能外发。
第三阶段：共享、外发与扩散路径检查项
知识从内部流向外部或跨团队时，控制点从“谁能看”转为“能传到哪里”。本阶段检查共享链接、外部分享审批、批量导出留痕和跨部门共享的用途说明。
| 检查项 | 通过标准 | 证据 | 检查时点 |
|---|---|---|---|
| 共享链接设置 | 共享链接均设置有效期与访问口令，可访问范围明确 | 共享链接配置截图 | 共享创建时、季度复核 |
| 外部分享审批 | 对外分享经过审批，共享对象有记录可查 | 审批记录、共享对象清单 | 每次外发时 |
| 批量导出与下载留痕 | 导出、下载、打印动作有日志，可按人和时间追溯 | 导出日志、操作审计记录 | 季度复核、异常事件后 |
| 跨部门跨项目共享 | 共享有明确接收方与用途说明，接收范围与用途匹配 | 共享申请记录、用途说明 | 共享发起时 |
扩散路径的风险在于“一次授权、长期有效”。共享链接若无有效期，接收方转发后原链接仍然可用；外部分享若无审批记录，事后无法判断是否合规。检查时优先抽查近期创建的共享链接和导出记录，确认有效期、口令和接收方信息齐全。跨部门共享要核对用途说明是否具体，笼统写“工作需要”的记录应要求补充。
第四阶段：权限回收与生命周期检查项
权限在授予时合理，不代表在人员变动和项目结束后仍然合理。本阶段检查离职、转岗、借调、项目结项、文档归档等时点的权限收缩情况。
| 检查项 | 通过标准 | 证据 | 时限要求 |
|---|---|---|---|
| 离职人员权限回收 | 离职人员的知识访问权限在约定时限内全部回收 | 账号权限回收记录、执行时间 | 按企业约定时限，检查时核对是否超期 |
| 转岗与借调调整 | 转岗、借调人员按新岗位调整权限，原岗位权限已移除 | 权限变更记录 | 异动生效后按约定时限 |
| 项目结项权限收缩 | 项目结项或阶段结束后，项目知识库权限收缩至必要范围 | 项目知识库权限截图、结项记录 | 结项后按约定时限 |
| 归档与版本替换 | 文档归档、废弃或版本替换后，访问权限同步调整 | 归档记录、版本变更记录 | 归档或替换时同步执行 |
| 回收记录可追溯 | 每次回收有执行人和执行时间记录 | 操作日志、回收台账 | 每次回收时 |
回收环节最容易出现“记录了事件、没记录执行”。检查时不仅看是否有离职或结项通知，还要看权限是否真的被移除、由谁执行、何时完成。项目知识库在结项后常保留全体成员权限，应确认是否已收缩到维护人员范围。归档文档若仍处于可编辑路径，也应视为未完成回收。
通过标准、证据与负责人如何对应
清单要能判断通过与否，每项检查都需要三样东西：可观察的通过标准、可留存的证据、明确的负责人。通过标准写成可核对的状态，例如“共享链接均设置有效期”可以逐条核对，“共享要谨慎”无法判断完成。证据形式按检查项选择：权限配置截图用于配置类检查，授权审批记录用于外发类检查，导出日志用于扩散类检查，复核签字记录用于高权限和季度复核。
负责人按对象与动作划分：知识Owner对对象分级、授权对象和接收方负责；知识库管理员对权限配置和共享设置负责；安全评审人对高权限抽查、外发记录抽查和复检负责。同一检查项涉及多人时，明确一人为结果责任人，其他人提供证据。
| 检查结果 | 判定含义 | 后续动作 |
|---|---|---|
| 通过 | 通过标准满足，证据已留存 | 记录归档，进入下一项 |
| 不通过 | 通过标准未满足，或发现明确风险 | 登记问题，指定责任人与整改期限 |
| 待补充证据 | 配置可能合规，但证据缺失 | 限期补充证据，逾期按不通过处理 |
三态记录的价值在于区分“确实有问题”和“暂时说不清”。待补充证据不能长期挂起，应设定补充期限，到期未补齐的按不通过纳入整改。检查结果按阶段汇总，便于安全评审人判断整体风险分布。
阻断项与完成条件
阻断项是必须在放行前关闭的问题，通常涉及敏感知识的暴露或外发失控。以下类型应列为阻断项：敏感知识设置为全员可见且无审批；外部分享无审批记录或接收方不明；离职人员权限未在约定时限内回收；批量导出无日志或无法追溯；高权限账号长期未复核且无业务必要性说明。
阻断项的处理要求是限期整改并复检，复检通过前不放行。整改记录应写明问题描述、责任人、整改动作和完成时间，复检由安全评审人或其指定人员执行，复检结论与证据一并留存。非阻断项可以带整改计划放行，但每项要有明确责任人和完成期限，不能只写“后续优化”。
整体检查的完成条件包括：所有阻断项已关闭并复检通过；非阻断项均有整改计划和责任人；本次检查的通过、不通过、待补充证据记录完整；复检记录与检查结论一并归档。归档后形成本次检查的基线，下一次季度复核以此对比权限变化。在ONES文档与知识库中，目录权限、共享设置和操作记录可作为上述证据的留存位置，检查结论可按阶段汇总到同一份复核文档，便于责任人和评审人对照跟进。
常见问题
季度权限复核时，如果发现共享链接已过期但接收方仍需要访问，应该怎么处理？
按新需求重新发起共享，而不是延长原链接有效期。重新发起时补齐接收方、用途说明和有效期，审批记录与新的共享链接一并留存。原链接过期状态保留在记录中，说明该次共享已结束。这样复核时能区分“历史共享已关闭”和“当前共享仍有效”，避免用一条长期链接覆盖多次共享。
文档Owner和知识库管理员对同一项权限检查结论不一致时，以谁为准？
按检查项的性质定结果责任人。对象分级、授权对象和接收方由文档Owner给出结论；权限配置和共享设置由知识库管理员给出结论。结论不一致时，先核对证据：配置类以平台权限配置截图为准，外发类以审批记录和接收方清单为准。证据仍无法判断的，记为待补充证据并设定补充期限，由安全评审人裁定，不长期挂起。
项目结项后知识库权限收缩，需要保留哪些人的访问权限？
保留维护人员范围即可，通常包括知识库管理员和后续负责该知识库内容维护的Owner。原项目成员的项目角色权限应移除，确有查阅需要的按普通查看权限单独授予并注明用途。收缩动作要留下执行人和执行时间记录，结项记录与权限截图一并归档，便于下次复核时对比。
检查中发现权限异常来自账号体系或平台策略，清单内还要继续判定吗？
不在本清单内直接判定。本清单范围限定在知识对象权限，企业统一身份认证、单点登录配置和平台级安全政策由身份与安全团队按各自规范评审。发现这类问题时记录现象、涉及对象和发现时间，转交对应团队处理，并在本次检查记录中标注转交状态，避免同一问题在多个清单里重复判定或遗漏。
非阻断项带整改计划放行后，下一次复核要重点看什么？
重点看三项：整改计划是否按期完成、责任人是否实际执行、整改后的权限状态是否与通过标准一致。复核时以本次归档的检查结论为基线，对比权限变化，特别关注新增的直接授权个人、新创建的无期限共享链接和结项后未收缩的项目知识库。整改逾期且无说明的，按不通过重新纳入整改。
