知识共享授权的风险检查，核心是确认五件事：授权范围与知识密级是否匹配、被授权对象是否仍在有效身份范围内、外部分享是否可控可撤回、权限变更是否留痕可追溯、过期与离职场景是否被清理。本文给出一套可复算的评估方法，覆盖指标公式、数据来源、计算步骤与解读边界，评估对象限定为文档、知识库、附件、外链等知识对象的权限配置，不涉及全平台身份认证与整体安全政策。
要点总览（TL;DR）
- 授权风险检查应围绕五类方向展开：授权范围与密级匹配、被授权对象身份有效性、外部分享可控可撤回、权限变更留痕可追溯、过期与离职场景清理。
- 核心指标包括越权访问尝试数、超范围共享对象数、外链数量与存活时长、权限回收时延、权限变更留痕率，每项都要写明公式、分母、时间窗与单位。
- 数据来源以权限配置导出、访问日志、分享链接记录、账号生命周期记录为主，日志缺失时标注为未验证，不同系统口径不直接合并。
- 判定阈值以组织自身历史基线或制度要求为准，分母为零记为不适用，样本过小时同时报告绝对数量与比例。
- 指标只反映检查时点的局部状态，结论应表述为本次范围内发现的风险项，并结合变更记录与抽样复核综合解读。
评估目标：授权风险要回答什么问题
授权风险检查容易滑向两个极端：要么只做一次人工抽查，结论停留在“看起来没问题”；要么把范围扩大到账号体系、网络边界和终端安全，最后无法收敛。把目标先定清楚，后续取数和判定才有依据。
评估对象应限定为知识对象权限，即谁对哪份文档、哪个知识库、哪个附件或哪条外链拥有什么操作权限。账号是否启用多因素认证、单点登录如何配置，属于身份认证范畴；平台整体安全政策与合规认证属于安全治理范畴，两者可以作为背景参考，不纳入本文的指标计算。
在此边界内，检查要回答三类问题：
- 合规性：现有授权是否符合组织设定的密级规则与授权规则。例如标为内部限阅的文档，是否被授权给了范围之外的人员或部门。
- 有效性：授权在当前时点是否仍然必要。项目结束、岗位调整、合作终止后，原有授权是否继续存在。
- 可追溯性：权限的授予、变更、回收是否留下记录，访问行为是否可以回溯到具体对象和时间。
三类目标对应不同的证据和指标。合规性看配置与规则的比对结果，有效性看授权存续状态与业务状态的偏差，可追溯性看日志与操作记录的完整程度。评估开始前先把这三类目标写成清单，并标注每类目标对应的知识库范围，可以避免后续指标混用。
指标与范围：选哪些指标、覆盖多大样本
指标的价值在于可复算。同一个指标，分母不同、时间窗不同，读数就没有可比性。下表给出五类核心指标的定义方式，组织可按自身系统能力取舍，但公式结构应保持一致。
| 指标 | 计算方式 | 单位 | 建议时间窗 | 分母说明 |
|---|---|---|---|---|
| 越权访问尝试数 | 统计周期内被拒绝或超出授权范围的访问请求次数 | 次 | 近90天 | 以周期内总访问请求数为分母时可计算占比 |
| 超范围共享对象数 | 授权对象超出密级规则允许范围的知识对象数量 | 个 | 检查时点快照 | 以纳入检查的知识对象总数为分母 |
| 外链数量与存活时长 | 有效外链总数；单条外链从创建到当前或撤回的时长 | 条、天 | 检查时点＋近90天创建 | 以外链总数为分母计算超期比例 |
| 权限回收时延 | 触发回收事件到权限实际失效的时间差 | 小时或天 | 近90天离职或转岗事件 | 以周期内应回收的账号数为分母 |
| 权限变更留痕率 | 有完整操作记录的权限变更次数占全部变更次数的比例 | 百分比 | 近90天 | 以周期内权限变更总次数为分母 |
范围定义要和指标一起确定。知识库或空间清单应写明纳入哪些、排除哪些，例如仅纳入正式知识库，不含个人草稿区。时间窗建议统一为近90天，快照类指标注明取数日期。抽样还是全量取决于对象规模：对象数在可导出范围内时优先全量，规模过大时按知识库分层抽样，并记录抽样方法和样本量，保证下次评估可以复现。
分母的选择直接决定读数含义。离职账号权限回收时延以“应回收账号数”为分母，而不是以“实际回收数”为分母，否则未回收的账号会被排除在统计之外，时延看起来反而更短。外链超期比例以外链总数为分母，包含已撤回的链接时需单独标注，避免口径漂移。
数据口径与证据：从哪里取数、如何验证
指标能否成立，取决于数据源是否完整、证据是否可核验。每类指标应至少对应一种原始证据，便于复核时回溯。
| 指标 | 数据来源 | 证据形式 | 缺失时处理 |
|---|---|---|---|
| 越权访问尝试数 | 访问日志、权限校验记录 | 日志导出文件、抽样截图 | 无日志则标注“未验证”，不按零计 |
| 超范围共享对象数 | 权限配置导出、密级标注清单 | 配置快照、比对结果表 | 密级缺失的对象单列，不计入分子 |
| 外链数量与存活时长 | 分享链接记录、外链管理列表 | 链接清单、创建与撤回时间 | 创建时间缺失的链接标注为“时长不可算” |
| 权限回收时延 | 账号生命周期记录、权限变更记录 | 离职或转岗事件表、回收操作记录 | 回收记录缺失时按“未回收”计入 |
| 权限变更留痕率 | 权限变更日志、审批记录 | 变更日志导出、审批单 | 无法确认是否留痕的变更计入分母、不计入分子 |
取数时有三条口径纪律。第一，日志缺失不等于没有风险，应标注为未验证，并在结论中单独说明覆盖缺口。第二，不同系统的统计口径不直接合并，例如两个知识库平台的访问计数规则不同，合并前需先对齐定义，无法对齐时分别报告。第三，配置快照要记录取数时间，权限是动态变化的，跨日期拼接的数据不能用于计算时延类指标。
证据的可信度可以按来源分级：系统导出的原始记录可信度最高，人工整理的表格次之，口头确认最低。复核时优先抽取原始记录，人工表格仅作为线索。对于外链和权限回收这类高风险项，建议保留操作记录截图或导出文件，作为评估留档的一部分。
在知识库权限配置与页面共享的管理动作上，ONES 提供从所有页面到单个页面、覆盖编辑与导出等操作维度的权限管控，页面共享也是其文档协同能力的一部分。评估时可以将权限配置导出结果与密级规则比对，作为合规性指标的取数起点；涉及外链有效期、访问日志与权限变更记录的部分，需以组织实际系统的导出能力为准，取不到的数据按未验证处理。
计算与评估步骤：从取数到判定
评估流程应保证他人可以按同样步骤复算出相同读数。建议按以下顺序执行：
- 确定范围：列出纳入评估的知识库或空间清单、时间窗、抽样方法，形成范围说明并留存。
- 导出权限与日志：导出权限配置快照、访问日志、外链清单、账号生命周期记录，记录每份数据的导出时间和来源系统。
- 按公式计算：逐项计算指标，分子分母同时记录，便于复核。计算过程保留中间表，不只保留最终比例。
- 对照基线判定：将读数与组织自身的历史基线或制度要求比较，标记偏差项。
- 抽样复核：从偏差项和高风险项中抽取样本，回到原始记录核对，确认读数不是取数错误造成的。
阈值设定以组织自身为准。例如权限回收时延，若制度要求离职当日完成回收，则基线可设为24小时以内；若历史基线是3天，则先以3天为参照观察改善趋势。通用达标线在不同组织之间缺乏可比性，套用外部数字容易得出误导性结论。
两类特殊情况需要单独规则。分母为零时，例如周期内没有离职事件，回收时延指标记为“不适用”，不记为达标。样本过小时，例如外链总数只有个位数，比例读数波动很大，应同时报告绝对数量和比例，并在结论中注明样本量，避免用一个小样本比例推断整体状态。
例子：一次授权风险检查怎么算
以下为演示情景，数字用于说明计算方法，不代表任何组织的实际水平。
示例一：外链风险。某知识库在检查时点共有外链120条，其中创建超过30天且仍处于有效状态的链接有18条。制度规定对外分享链接有效期不超过30天。则外链超期比例＝18÷120＝15%。进一步查看这18条链接的创建人分布，若集中在少数几个已转岗账号，说明问题与账号生命周期管理相关，而不只是链接管理疏漏。单看15%这个比例，只能说明存在超期链接，不能说明这些链接是否被外部实际访问过。
示例二：离职账号权限回收时延。近90天共有离职账号40个，其中32个在离职后完成了权限回收，8个在检查时点仍未回收。已完成回收的32个账号中，回收时延分别为：24小时内完成20个，1至3天完成9个，超过3天完成3个。则回收完成率＝32÷40＝80%；在已完成回收的账号中，24小时内回收占比＝20÷32＝62.5%。若制度要求离职当日回收，则未回收的8个账号和超过3天完成的3个账号都属于偏差项，需要逐一核查原因。
两个示例的结论应分开表述：外链指标反映分享控制的状态，回收时延反映账号生命周期与权限联动的状态。任一指标读数偏低，都不能推出整体授权风险可控的结论，需要结合其他指标和抽样复核综合判断。
解读与限制：指标能说明什么、不能说明什么
指标反映的是检查时点的状态。权限配置在取数之后仍会变化，日志覆盖也可能存在盲区，因此评估结论应表述为“在本次范围和时点内发现的风险项”，而不是安全保证。未发现超范围授权，可能意味着控制有效，也可能意味着密级标注不全导致比对失效，两种情况需要通过抽样复核区分。
指标改善与管控措施之间是相关关系，不是因果关系。回收时延从3天降到1天，可能与新上线的离职流程有关，也可能与本期离职人数少、处理更集中有关。判断措施是否有效，应结合变更记录，对比措施上线前后的同口径读数，并排除范围调整带来的影响。
复评节奏建议与知识库变更频率和人员流动节奏匹配。人员流动较快的组织可按季度复评，稳定期可半年一次；发生重大组织调整、外部合作终止或安全事件后，应追加一次专项检查。每次评估的范围说明、指标读数、偏差项清单和复核记录应统一留档，便于下次评估沿用同一口径做趋势对比。
常见问题
知识库没有访问日志，越权访问尝试数还能算吗？
不能按零计算。日志缺失时应将该指标标注为“未验证”，并在评估结论中单独说明覆盖缺口，避免把取不到数据误读为没有越权行为。可以先用权限配置快照与密级规则比对，得到超范围共享对象数作为替代观察项，同时把访问日志能力纳入后续改进清单。若组织有其他系统留存了访问记录，需先确认其统计口径与知识库权限校验规则是否一致，口径不一致时分别报告，不合并计算。
外链超期比例的分母要不要包含已撤回的链接？
取决于评估目的，但必须在报告中固定口径。若关注当前仍存在的分享风险，分母取检查时点的有效外链总数，已撤回链接不进入分母；若关注一段时间内外链管理的整体质量，可以把周期内创建的全部链接作为分母，同时单独列出已撤回数量。两种口径的读数不可直接比较，复评时应沿用同一口径，口径变更需在报告中注明，否则趋势对比会失真。
离职账号权限回收时延，为什么分母要用应回收账号数？
用应回收账号数作分母，未回收的账号才会留在统计范围内，回收完成率和时延读数才能反映真实缺口。如果以实际回收数为分母，未回收账号被排除在外，时延看起来反而更短，风险被掩盖。计算时可同时报告两个读数：回收完成率＝已回收账号数÷应回收账号数，已完成回收账号的时延分布单独统计。制度要求离职当日回收时，未回收账号和超时回收账号都应列为偏差项逐一核查。
评估发现指标读数改善，能否说明管控措施有效？
需要结合变更记录判断。指标改善可能与措施上线有关，也可能与本期离职人数少、外链创建量下降或评估范围调整有关。较稳妥的做法是对比措施上线前后同口径的读数，确认范围说明、分母定义和时间窗保持一致，并排除组织调整带来的影响。若期间同时发生多项变更，难以归因时，结论应表述为“读数变化与某项措施同期发生”，避免直接下因果判断。
授权风险检查多久做一次比较合适？
复评节奏可与知识库变更频率和人员流动节奏匹配。人员流动较快、外部合作较多的组织可按季度复评；处于稳定期的组织可半年一次。发生重大组织调整、外部合作终止或安全事件后，建议追加一次专项检查。每次评估的范围说明、指标读数、偏差项清单和复核记录统一留档，下次评估沿用同一口径，才能做趋势对比。
