访问控制最佳实践：赋予合适的人合适的权限
为什么过度授权会带来风险，以及如何设计角色结构来保护学校各个平台上敏感的学生和教职工数据。
访问控制是学校在数据治理方面最实用、影响最大的决策之一。如果管理得当，敏感信息就能得到保护，教职工也能获得完成工作所需的资源，审计工作也会变得简单明了。如果管理不当——最常见的情况是授予过多人员过多的访问权限——学校将面临安全风险和合规性方面的双重挑战。
本指南面向负责在ManageBac+ 、 OpenApply 、 Atlas和SchoolsBuddy等平台配置和维护用户权限的学校管理员和 IT 经理。无论您的学校使用哪些系统，此处的原则都具有广泛的适用性。
最小权限原则：每个用户都应该只拥有完成工作所需的最低限度数据和功能访问权限——不多不少。这是有效访问控制的基础。
权限过大的问题
权限过度授予——即授予超出角色所需权限的访问权限——是学校中最常见的访问控制错误。这种情况通常是因为授予广泛的访问权限比仔细配置权限更容易，尤其是在系统部署时间紧迫的情况下。
风险包括：
- 意外数据泄露——一位老师可以看到所有学生的医疗记录，而不仅仅是自己班级的学生的记录。
- 意外数据修改——一名员工拥有编辑记录的权限，而他/她本应只有查看记录的权限。
- 合规风险——根据 GDPR、PDPA 和类似法规，对个人数据的访问必须仅限于具有合法需求的人员。
- 审计困难——当权限分配不明确时，很难确定谁在何时访问了哪些数据。
过度授权也会产生自我强化的效应：一旦授予了广泛的访问权限，这种权限往往会持续存在。如果没有积极的审核流程，新用户注册时授予的权限很少会随着时间的推移而减少——它们只会不断增长。
设计基于角色的访问控制
学校平台访问控制最有效的方法是基于角色的访问控制 (RBAC)：权限分配给角色，用户分配给角色，而不是为每个人单独配置权限。
学校环境中精心设计的角色通常遵循“工作职能+数据范围”的模式：
| 角色类型 | 典型访问范围 | 例子 |
|---|---|---|
| 学校行政人员 | 在其职责范围内，拥有所有模块的完全读写权限。 | 注册主任负责管理所有学生记录 |
| 系主任 | 对其部门数据拥有读写权限；对全校数据拥有只读权限。 | 数学系主任仅查看所有数学课数据 |
| 班主任 | 仅为自己的课程进行读写 | 教师录入所分配课程的成绩和出勤情况 |
| 招生官 | 可完全访问申请人数据；无权访问在校学生记录 | 仅在OpenApply中工作的招生人员 |
| 只读查看器 | 仅查看特定报告或仪表板的访问权限 | 学校校长正在审阅汇总的学术数据 |
角色应该在用户添加到系统之前定义，而不是在用户入职时临时配置。这样可以避免不一致，并大大简化未来的审核工作。
进行权限审核
权限审核是对谁拥有哪些访问权限以及这些访问权限是否仍然合适的定期审查。定期进行审核的学校能够在权限漂移（即访问权限逐渐积累，但不再反映个人当前角色）演变成合规问题之前就发现并解决它。
基本的权限审核应涵盖以下内容：
- 活跃用户- 请确认所有拥有活跃账户的人员仍在学校担任相关职务。
- 角色准确性- 验证每个用户分配的角色是否与其当前工作职能相符。
- 提升权限- 检查所有拥有管理员或超级用户权限的用户，并确认此级别仍然必要。
- 非活跃账户——识别过去90天内未被访问过的账户，并调查是否应将其停用。
- 共享账户——标记多人共享的任何账户，这使得审计和问责变得不可能。
至少每个学年进行一次全面的权限审核——理想情况下是在学年开始时，因为那时教职工变动最为频繁。对于规模较大的学校来说，进行一次较为简化的年中审核也很有价值。
需要格外注意的敏感数据类别
并非所有数据都具有相同的风险。某些类别的学生和教职工信息需要比标准学术记录更严格的访问控制。在大多数司法管辖区，这些类别包括：
- 医疗和健康信息——过敏史、疾病史、用药情况；访问权限应仅限于指定的福利工作人员和相关教师。
- 学习支持和特殊教育需求记录——特殊教育需求文件；通常仅限于特殊教育需求协调员、相关教师和学生家长查阅。
- 行为和教牧记录——事件记录和辅导笔记；查阅应遵循明确的政策，而非向所有员工开放。
- 财务信息——费用状况和付款记录；通常仅限于财务和高级管理层查阅。
- 申请人个人数据——在OpenApply中，申请人入学前的信息应仅对招生人员开放，而不应向更广泛的学校群体开放。
请检查您当前的平台配置是否已适当限制FariaSupport这些类别的访问。FariaSupport 可以就您平台设置中的具体权限设置提供建议。
提示和注意事项
- 切勿使用共享或通用帐户——每个用户都应该拥有自己的登录帐户；共享帐户会使追踪谁访问或更改了数据变得不可能。
- 记录你的角色定义——每个角色可以访问和不能访问的权限的书面记录对于审计和新员工入职流程的一致性至关重要。
- 妥善对待临时员工——代课教师、合同工和短期员工应获得有时限的访问权限，该权限应在其聘用期结束时立即到期或进行审查。
- 尽可能记录和监控日志——许多平台都提供访问日志；启用并定期查看这些日志，尤其要关注具有较高权限的用户。
总之
- 应用最小权限原则：每个用户只能获得其角色所需的最低权限，不多不少。
- 在用户入职前设计基于角色的访问结构，而不是临时地针对每个人进行设置。
- 至少每年进行一次全面的权限审核，对于规模较大的学校，可以进行一次较为宽松的年中审核。
- 对敏感数据类别（包括健康记录、特殊教育需求记录、教牧关怀记录和财务记录）施加额外限制。
在ManageBac+ 、 OpenApply 、 Atlas和SchoolsBuddy中配置完善的访问控制功能，可以保护学生和教职工数据，并显著增强学校在合规性审查中的应对能力。如需了解特定平台设置中的角色配置指导，请联系FariaSupport 。