研发数据权限的风险检查，重点看五类问题：谁能看到什么、数据是否被越权导出或转发、指标口径与权限是否一致、权限变更与离职回收是否留痕、外部共享与集成账号是否失控。这份清单面向研发效能看板、度量报表、数据导出与共享链接的负责人，按上线前准备、权限配置评审、运行期验收三个时点逐项核对，每项给出通过标准、证据和负责人，并单列阻断项。ONES在项目角色配置与操作记录上的能力，可作为权限评审与变更留痕环节的承载工具之一。
要点总览（TL;DR）
- 研发数据权限检查覆盖五类风险：可见范围与最小权限、越权导出与转发、指标口径与权限一致性、变更与离职回收留痕、外部共享与集成账号。
- 检查按三个时点推进：上线前准备查数据分级、口径与人员范围；配置评审查授权结果；运行期验收查实际行为与日志证据。
- 每项检查都要有通过标准、证据形式和负责人，配置截图与日志抽样是两类主要证据。
- 四类风险列为阻断项：敏感数据对无权限人员可见、导出无记录、离职权限未回收、共享链接公开可访问，未闭环不得上线或通过验收。
- 例外放行由安全或合规负责人批准，记录范围、期限和补偿措施，到期复核，批准权不下放给看板负责人本人。
谁在什么时点使用这份清单
这份清单解决的是“什么时候查、谁来查、查完交什么”的问题，具体检查项放在后续章节。适用对象是研发效能看板、度量报表、数据导出功能和共享链接的负责人；参与角色包括数据管理员、研发管理者、安全或合规人员、业务数据Owner。四类角色在不同时点的分工不同，需要提前排定，避免评审时找不到签字人。
三个使用时点对应三种产出：上线前准备阶段产出数据分级与口径确认记录；权限配置评审阶段产出配置评审结论与整改清单；运行期验收阶段产出复核记录与证据归档。每个时点由数据管理员发起，研发管理者确认业务范围，安全或合规人员判定风险等级，业务数据Owner对敏感数据的授权签字。
| 时点 | 发起人 | 参与角色 | 主要产出 | 签字确认 |
|---|---|---|---|---|
| 上线前准备 | 数据管理员 | 研发管理者、业务数据Owner | 数据分级表、指标口径确认单、人员范围清单 | 业务数据Owner |
| 权限配置评审 | 数据管理员 | 安全或合规、研发管理者 | 配置评审结论、整改清单 | 安全或合规 |
| 运行期验收 | 数据管理员 | 安全或合规、业务数据Owner | 复核记录、导出与变更日志抽样 | 安全或合规 |
排期上，准备阶段应在看板开发启动时同步进行，配置评审安排在上线前一周，运行期验收在上线后第一个月内完成首次复核，之后按季度或半年周期执行。三个时点的检查范围不重叠：准备阶段查输入是否齐备，配置评审查授权结果，运行期验收查实际行为与留痕。
上线前的数据与权限准备检查
权限配置之前，先确认数据分级、指标口径和人员范围已经明确。权限建在模糊定义上，后续评审无法判断授权是否合理，运行期也无法界定越权。这一阶段的检查对象是输入材料，不评判具体授权配置。
数据分级与敏感识别
把度量数据按敏感程度分类：个人绩效关联数据、薪酬或工时明细、客户信息、缺陷责任人排名等通常属于高敏感；项目进度、迭代速率等聚合指标敏感度较低。通过标准是每个看板或报表的每个数据字段都有明确分级，高敏感字段有对应的授权审批要求。证据形式是数据分级表，由业务数据Owner签字。
指标口径与数据来源确认
同名指标不同口径是权限检查中容易被忽略的风险：两个看板都叫“人均产出”，口径不同，授权给同一批人后会产生误读和争议。检查项包括指标定义文档是否确认、数据来源系统是否明确、指标负责人是否指定。通过标准是每个对外指标都有唯一口径说明和负责人，证据为口径确认单。
人员与组织范围界定
明确哪些人属于看板的合法可见范围：项目成员、跨项目角色（如部门负责人、PMO）、外部协作方。外部协作方需要单独列出，并确认其可见字段是否受限。通过标准是人员范围清单覆盖全部预期使用者，外部协作方单独标注并附授权依据。证据为人员范围清单及组织架构快照。
权限模型选型
根据数据敏感度和使用场景选择授权方式：按角色授权适合职责稳定的团队，按项目授权适合项目制组织，按数据行或字段授权适合需要精细控制敏感字段的场景。通过标准是选型理由有书面记录，且与数据分级结果匹配。证据为权限模型说明文档。
| 检查项 | 通过标准 | 证据 | 负责人 |
|---|---|---|---|
| 数据分级 | 每个字段有分级，高敏感字段有审批要求 | 数据分级表（签字） | 业务数据Owner |
| 指标口径 | 每个对外指标有唯一口径和负责人 | 口径确认单 | 数据管理员 |
| 人员范围 | 覆盖全部预期使用者，外部方单独标注 | 人员范围清单 | 研发管理者 |
| 权限模型 | 选型理由书面记录，与分级匹配 | 模型说明文档 | 数据管理员 |
权限配置评审：可见范围与越权风险
这一阶段核对授权配置结果是否满足最小权限原则，重点识别越权可见和横向扩散。评审对象是配置本身，不涉及运行行为。以下检查项中，标注为阻断的项未通过时不得上线。
默认权限与横向可见
新成员加入后的默认可见范围是常见风险点：默认开放全项目或全部门数据，会让权限随人员流动自动扩散。通过标准是新成员默认仅可见所属项目或明确授权范围，跨项目、跨部门可见需经审批并有审批记录。证据为默认权限配置截图和审批记录抽样。此项中“默认可见范围超出授权”列为阻断项。
敏感字段单独控制
人员维度数据、工时明细、缺陷责任人排名等字段，应与聚合指标分开授权。通过标准是敏感字段有独立权限开关或独立报表，未授权角色无法通过筛选、下钻或导出间接获取。证据为字段级权限配置和一次越权访问测试记录。敏感字段对无权限人员可见属于阻断项。
分享链接与导出权限
看板和报表的分享链接如果默认公开可访问，等于绕过了全部权限配置。通过标准是分享链接默认关闭或需登录且受权限约束，导出功能按角色开放，批量导出有额外限制。证据为链接分享设置截图和导出权限配置。公开可访问的共享链接列为阻断项。
管理员账号管理
统计管理员和超级权限账号的数量、归属和用途。通过标准是管理员账号数量与运维需要匹配，每个账号有明确归属人，闲置账号已停用。证据为管理员账号清单及最近登录记录。管理员账号归属不清或存在共享账号，列为需整改项，涉及敏感数据的管理员账号失控升级为阻断项。
| 检查项 | 通过标准 | 证据 | 判定 |
|---|---|---|---|
| 默认可见范围 | 新成员仅见授权范围，跨项目可见有审批 | 配置截图、审批抽样 | 超出授权为阻断 |
| 敏感字段控制 | 独立授权，无法间接获取 | 字段配置、越权测试记录 | 无权限可见为阻断 |
| 分享链接 | 默认受权限约束，导出按角色开放 | 分享设置、导出配置 | 公开可访问为阻断 |
| 管理员账号 | 数量合理、归属明确、闲置停用 | 账号清单、登录记录 | 归属不清为整改项 |
在ONES中，项目角色与成员权限可按项目配置，操作记录可查询，评审时可据此核对授权结果与变更过程；具体配置方式以团队实际部署和官方文档为准。
运行期验收：导出、共享与变更留痕
配置正确不代表运行中不出问题。这一阶段验证实际行为：数据是否被越权导出、外部共享是否受控、权限变更是否可追溯。验收以日志和抽样证据为准，不依赖配置截图。
导出行为记录与告警
检查导出操作是否有记录，记录是否包含操作人、时间、导出范围和数据量。通过标准是全部导出行为可查询，批量导出触发审批或告警，异常导出（如非工作时间大批量导出）有告警记录。证据为导出日志抽样和告警配置。导出无记录列为阻断项。
外部共享与集成账号
API账号、机器人、同步任务等集成账号往往拥有较宽权限且长期不变。检查项包括每个集成账号的权限范围、归属人、用途和最近使用时间。通过标准是集成账号按最小权限配置，有归属人，闲置账号已停用。证据为集成账号清单和权限配置。集成账号权限超出用途范围且无归属人，列为阻断项。
离职与转岗权限回收
检查离职、转岗、项目退出后的权限回收时效。通过标准是权限回收在人员变动后规定时限内完成，有回收记录可查。证据为人员变动清单与权限回收记录的比对抽样。离职人员权限未回收列为阻断项。
变更日志与定期复核
权限变更日志应完整记录变更人、变更内容、时间和审批依据，支持按人员和按时间查询。通过标准是日志完整可查，复核机制明确复核周期（如每季度）和复核人，复核结果有记录。证据为变更日志抽样和复核记录。日志缺失导致无法追责的，列为阻断项。
| 检查项 | 通过标准 | 证据形式 | 复核周期 |
|---|---|---|---|
| 导出行为 | 全量记录，批量导出有审批或告警 | 导出日志抽样、告警配置 | 每月抽样 |
| 集成账号 | 最小权限、有归属人、闲置停用 | 账号清单、权限配置 | 每季度 |
| 离职回收 | 规定时限内回收并有记录 | 变动清单与回收记录比对 | 每月 |
| 变更日志 | 完整可查、可追责 | 日志抽样、复核记录 | 每季度 |
阻断项与通过条件
阻断项指未闭环即不得上线或不得通过验收的风险。与一般整改项的区别在于：阻断项直接导致敏感数据可能被无权限人员获取，或导致事后无法追责。以下四项为阻断项清单，每项给出闭环条件和验证方式。
| 阻断项 | 闭环条件 | 验证方式 |
|---|---|---|
| 敏感数据对无权限人员可见 | 收回越权授权，完成一次越权访问测试确认不可见 | 测试记录加配置复核 |
| 导出无记录 | 开启导出日志，批量导出接入审批或告警 | 日志抽样验证 |
| 离职权限未回收 | 完成全部离职人员权限清理，建立回收时限机制 | 人员清单与权限比对 |
| 共享链接公开可访问 | 关闭公开访问或改为登录加权限约束 | 链接访问测试 |
放行规则：阻断项全部闭环方可上线或通过验收。确因业务需要保留例外的，由安全或合规负责人批准，例外需记录范围、期限和补偿措施（如缩小可见范围、增加告警），到期自动复核。例外批准权限不下放给看板负责人本人。
未通过时的处理路径按风险程度选择：涉及敏感数据可见的，先缩小可见范围再整改；涉及导出和共享的，可临时关闭导出和分享功能，保留查看能力；涉及日志缺失的，暂停新增授权直至日志能力补齐。处理路径和恢复条件应写入评审结论，由发起人跟踪闭环。
常见问题
看板刚上线、使用人数不多，能否先跳过运行期验收？
不建议跳过。运行期验收查的是实际行为，包括导出记录、共享链接状态、集成账号权限和离职回收，这些内容在配置阶段看不到。使用人数少时可以把首次复核的抽样量调小，例如抽取近一个月的全部导出记录和全部人员变动记录，但导出无记录、离职权限未回收这类阻断项仍需核对。首次复核安排在上线后第一个月内完成，之后按季度或半年周期执行。
业务方要求把某个看板分享给外部合作方，怎么处理才不破坏权限边界？
先确认分享对象属于人员范围清单中的外部协作方，并核对其可见字段是否已按数据分级结果受限。分享方式优先选择需登录且受权限约束的链接，公开可访问的共享链接属于阻断项，不能作为例外放行。如果外部方确实需要查看高敏感字段，应由业务数据Owner签字授权，并在评审结论中记录授权范围和期限。分享开启后，把该链接纳入运行期验收的抽样对象，定期检查访问状态。
指标口径不一致为什么也算权限风险？
口径不一致会让同一批被授权的人看到含义不同的同名指标，例如两个看板都叫“人均产出”但计算方式不同，读者容易据此做出错误判断，事后也难以界定责任。这类问题的检查放在上线前准备阶段：每个对外指标有唯一口径说明和负责人，证据为口径确认单。口径设计本身属于研发效能指标体系的工作，本文只检查口径是否已确认并随权限一起交付。
集成账号和机器人权限很宽，但一直没出问题，需要整改吗？
需要纳入检查。集成账号通常长期不变、权限较宽，一旦凭证泄露或归属人离职，影响范围比普通账号更大。检查项包括每个集成账号的权限范围、归属人、用途和最近使用时间，通过标准是按最小权限配置、有归属人、闲置账号已停用。权限超出用途范围且无归属人的，列为阻断项。整改时可以按用途拆分账号，缩小单个账号的权限范围。
阻断项确因业务需要无法立即闭环，例外怎么批、批完怎么管？
例外由安全或合规负责人批准，看板负责人本人不能批准自己看板的例外。批准时记录例外范围、期限和补偿措施，补偿措施可以是缩小可见范围、临时关闭导出或增加告警。例外到期自动复核，复核结果并入运行期验收记录。如果例外涉及敏感数据对无权限人员可见，优先缩小可见范围再整改，不把公开可访问的共享链接作为例外保留。
