Web敏感操作需双人审批与行为审计，按风险分级定义三级敏感操作，实行职责分离、通道隔离、日志不可篡改，并配套结构化六要素审计日志及人工抽检与自动验证闭环机制。
对 Web 敏感操作指令实施双人审批与行为审计，核心是把“谁在什么时间、对什么资源、执行了什么命令”全程锁死，并确保关键动作必须由两人独立确认——不是形式上点两次确认按钮，而是职责分离、通道隔离、日志不可篡改。
明确哪些操作算“敏感”并分级定义
不能笼统说“导出数据要审批”，得按风险精准切分：
- 一级高危：删除数据库表、清空缓存集群、修改生产配置文件、批量导出含身份证/手机号的客户数据（>100条）；
- 二级中危：重启核心服务（如订单中心、支付网关）、启用调试模式、关闭安全策略开关；
- 三级低危：更新非核心页面文案、刷新CDN缓存、调整日志级别（INFO→DEBUG）。
每级对应不同审批强度和审计粒度。一级操作必须双人+MFA+录像回溯；三级可仅记录+事后抽检。
审批流程必须物理隔离，禁止共用会话或终端
双人不是“两个人都在同一台电脑上操作”，而是申请人与授权人使用完全独立的认证通道和设备：
- 申请人提交请求时，系统自动生成唯一编号（如OP-20260616-7F2A），附带原始命令哈希、目标URL、参数快照、源IP及设备指纹；
- 授权人须通过另一台设备、另一套账号（禁止与申请人同组或同部门），登录专用审批入口（如企业微信审批机器人、堡垒机金库界面或SSH审批终端）；
- 审批界面只显示脱敏摘要（如“导出用户表，字段含手机号，共842条”），不暴露完整SQL或原始参数，防止信息泄露或误读；
- 授权人确认前，系统强制校验其MFA动态码、当前登录IP是否在白名单、设备是否为注册终端。
所有操作必须绑定结构化审计日志
日志不是记“张三审批了李四的请求”，而是记录可还原、可验证、不可抵赖的六要素：
- 申请人UID + 源IP + 登录设备指纹；
- 授权人UID + 认证方式（短信OTP/企业微信扫码）+ 审批终端IP；
- 原始操作命令字符串 + SHA256哈希值；
- 执行返回码（0表示成功，非0需标记失败原因）；
- 会话起止时间（精确到毫秒）+ 会话ID；
- 审批编号（OP-20260616-7F2A）与关联的tlog录像索引。
这些日志必须实时写入独立日志服务器（禁用本地删除权限），且存储介质支持WORM（一次写入多次读取），防止被覆盖或篡改。
审计闭环要有人工抽检与自动验证双机制
光有日志不等于有效审计，必须形成检查—反馈—改进循环：
- 每月由非运维部门（如内审岗、合规部）随机抽取10%的一级操作录像，回放验证：两人是否真实操作、间隔是否≥30秒、审批内容与执行命令是否完全一致；
- 系统自动比对每次操作的命令哈希与审批时提交的哈希，不一致则标记为“篡改风险”，触发告警并冻结相关账号；
- 对连续两次审批超时（如授权人未在15分钟内响应）、或同一申请人一周内被拒3次以上的情况，自动推送至安全负责人复核流程合理性。
