情景：内审发现4名已离职6–18个月的IT员工，在公司ERP和VPN上还有有效账号——一人还有管理员权限。暂未发现损失，但这是极危险的”后门”。立即怎么处理、查什么？
1. 紧急收回：24小时内
（1）立即停用离职人员全部账号（ERP、VPN、邮箱、子系统）——别等核实”用没用过”，先锁。（2）更换他们知道的共用/服务账号密码。（3）收回已发的数字证书、令牌、API密钥。（4）核对全量系统账号与现有人员——清理所有”孤儿账号”。有残留管理员权限的，最优先：查有无新增的隐藏账号/后门。
2. 回溯审计：18个月有无异常
（1）调取4个账号18个月的登录日志：时间、IP、操作——找异常登录（怪时间、怪IP、批量下载）。（2）若发现离职后还访问过：评估干了什么（看、拷、改、删？）——这是举报（非法侵入/使用网络——《刑法》第288、289条）和索赔的依据。（3）查数据完整性：账号存续期间有无数据被改/删。（4）若客户个人信息被访问——履行91/2025号法律的通报义务。
3. 完善IT离职流程
（1）强制离职清单：最后工作日=账号全部停用日（有条件做HR-IT集成自动）。（2）最小权限——没人拿超工作需要的管理员权限；禁共用管理员账号，每人独立可追溯。（3）按季复核账号与人员。（4）离职后保密条款+交接笔录确认权限已收回。
常见问题
发现离职IT管理员账号还活着，第一步？
立即停用离职人员全部账号（别等核实）；换他们知道的共用账号密码；收回证书/令牌/API；查隐藏账号/后门。24小时内完成。
要查18个月日志吗？
要。调残留账号登录日志：时间、IP、操作——找离职后异常登录。发现非法访问就是举报（第288、289条）和索赔的依据。
标准IT离职流程包括什么？
最后工作日=账号全停用日；最小权限、禁共用管理员账号；按季账号与人员复核；离职后保密+交接笔录确认收回。
本文待QA委员会审查后发布。
本文已通过 FLAW AI Legal Council 质量审核