流程系列
访问权限治理流程：入职、申请、调岗和离职模板
访问权限治理流程族将用户开通、访问申请、员工访问申请和访问撤销连接为一个生命周期，并包含 ISO 27001 A.5.15 控制和数据访问申请两条并行路径。
访问权限治理是人员权限的生命周期。HR 事件创建身份，申请在直属经理和系统负责人批准后授予系统权限，调岗移除旧角色不再需要的权限，离职事件撤销一切权限并回收许可证。四份顺序模板覆盖这些事件；并列两份模板从 ISO 27001 控制和单一数据集角度呈现同一闭环。
顺序由 HR 事件而非 IT 工单驱动。入职事件在目录中创建身份、发放 MFA 凭据，并在 用户开通 中生成岗位权限包；超出标准包的内容等待权限负责人。额外权限进入 访问申请，经直属经理、系统负责人、职责分离检查和特权访问安全审批后，按最小权限开通并登记。调岗使用员工访问申请，先列出旧角色权限，直至其被移除才关闭。
离职、合同结束或复核发现触发 访问撤销：在一小时内切断权限或安排至生效日，轮换共享凭据、禁用或删除账户、移交邮箱和文件所有权、回收许可证并保存每项撤销证据。审核员常发现的失效是仅凭经理口头授权、调岗人员保留全部历史权限、离职账户仍存活和无法证明复核；各模板分别在系统负责人审批、旧角色移除、立即撤销分支和证据采集处建立控制。
访问再认证是开通、访问申请、ISO 控制和数据访问申请四份成员的尾部步骤，尚无独立复核活动模板。ISO 27001 A.5.15 流程图将请求、业务批准、最小权限开通、定期所有者证明和撤销绘为一个审核控制。数据访问申请是其数据集版本：明确用途、读取目录分类，由数据所有者决定，个人数据还要经隐私审核和 DPIA，每项授权都有到期日。
HR 拥有触发器，因此本流程族是 员工生命周期 的 IT 泳道：入职触发开通，离职触发撤销，两份清单应相互核对。数据集的目录、分类和所有者来自 数据治理。账户受损时，安全事件响应也会使用访问撤销的立即撤销分支；钓鱼流程中的密码重置和会话撤销是由 SOC 而非服务台执行的同一步骤。
流程顺序
第 1 步: 用户账号开通流程图（入职、调岗、离职）
用户账号开通流程图：人力资源事件触发，在目录中创建身份，发放凭证并注册 MFA，推导岗位权限包，特权权限由责任人审批，创建下游账号，核验与定期复审。
第 2 步: 访问申请与权限开通流程图
访问申请流程图：基于角色的申请、直属主管与系统负责人审批、职责分离检查、按最小权限开通，以及定期重新认证。
第 3 步: 员工访问申请流程图（入职与调岗）
面向入职与调岗的员工访问申请流程图：由人力资源部触发的申请、角色权限配置、主管与系统负责人审批，以及旧角色权限的回收。
第 4 步: 用户访问权限回收流程图（权限注销）
用户访问权限回收流程图：离职与岗位变动触发、立即撤销分支、共享与特权账号处理、许可证回收，以及可供审计的证据与核对。
同属本系列
- ISO 27001 访问控制流程图（附录 A.5.15） — 符合 ISO 27001 附录 A.5.15 的访问控制流程图：申请、业务审批、技术开通、定期复核与权限回收，版本受控、审批留痕、随时可供审核。
- 数据访问申请流程图（从提交申请到权限回收） — 数据访问申请流程图：写明使用目的、查阅数据集分级、由数据责任人决定、完成个人信息核查、开通限期访问，再复核或回收。
应用于以下行业
相关指南
- 如何创建工作流程图 — 如何创建工作流程图：把申请、审批关卡、实际工作以及那个让流程闭环的复核画出来，并让每个状态都有一个角色负责。附一个实时的权限申请示例。