企业数据治理里的权限怎么定：谁能看、谁能改、改完留不留痕

权限这件事，大多数企业的做法是按部门分：销售看客户表，财务看账表。看起来清楚，实际漏掉了同一份数据跨部门流转时的授权问题。

权限设计从数据分级开始

没有分级就没有权限。分级标准要写得具体，比如客户手机号属于敏感，成本价属于核心，产品目录属于内部。可以按公开、内部、敏感、核心四级来分。

定级之后，每一级的默认可见范围、导出权限、外发权限都定死，例外情况走审批。导出权限尤其要单独管，能导出就等于能带走。数据泄露事件的源头多数在内部，把批量导出这一步卡住，风险就小了一半。有企业把导出做成审批制，单次超过五百条需要部门负责人确认，规则简单，效果不差。

修改权限比查看权限更值得管

数据治理出问题，十次有八次是改出来的。修改权限至少要加三个约束。

一是关键字段的修改要留痕，记录修改人、修改时间、修改前后值。二是批量修改要单独授权，避免一个人导出再导入就把几千条记录改了。三是删除默认改成逻辑删除，数据还在，只是前端不显示。

留痕记录本身也要管。日志不能只有管理员能改，最好落到独立的日志表，应用账号没有删除权限。这条在应对审计和监管检查时很关键。

账号生命周期是漏洞高发区

员工离职、转岗、外包人员退场，账号权限没有及时回收，是数据泄露最常见的入口。可行的做法是把权限申请和人事流程绑在一起：入职走开通，转岗走变更，离职走回收，每一步都有责任人和时限。

外包和第三方服务商要单独处理。按《个人信息保护法》的要求，委托他人处理个人信息应当约定处理目的、期限、方式，并对受托方进行监督。落到系统上，就是给外部账号单独建角色，限制可见数据范围，设定到期自动失效。

落地节奏

不用一次做完。先做两件事：把核心数据列出来定级，把离职回收权限这个流程跑通。这两件做完，风险能降一大截。

剩下的细粒度权限可以随着系统迭代慢慢补。有企业一上来就追求字段级权限全覆盖，做了半年还没上线，业务部门先失去了耐心，项目拖到不了了之。分级、留痕、回收这三样先立住，比大而全的方案管用。