访问权限的“打地鼠”永远没有尽头，这是有原因的

我经常思考访问权限的“打地鼠”问题。新员工、新项目、新文件、新共享，还有人在不知情的情况下中断了某个文件夹的继承。这就是它永远没有尽头的原因：新事物出现的速度超过任何人审查现有内容的速度，因此无论你多频繁地清理，清单都不会变短。

这个问题一直存在，但如今更加尖锐。过去要找到一个过度暴露的文件，需要有人手动翻找，这意味着大多数文件多年来都悄悄地躺在那里，无人发现。Copilot 及类似的代理把整个搜索压缩成一个问题，几秒钟内就能回答任何提问的人。AI 并没有制造风险，但它放大了原本就存在的风险。

我曾是工程师，喜欢观察软件团队如何处理类似的问题。Claude Mythos Preview 于四月发布，一个月内，Anthropic 及其合作伙伴就在广泛使用的软件中发现了超过 10,000 个高危或严重漏洞。维护者无法靠打补丁赶上这个速度。每发现一个漏洞就修补一个，很像试图跟上每一次权限变更：永远没有尽头。所以聪明的团队不会试图修复每一个漏洞。他们会把自己实际上跟不上的最高风险代码，重新架构到经过加固的隔离平台上，使一大批漏洞一下子不再构成问题。

我认为同样的思路也适用于访问治理。

迁移数据，而不是只加强看护

通用文件共享是敏感数据最薄弱的存放地：权限继承难以预测，默认很少启用标签或 DLP，审计线索也很单薄。一次清理遗漏就会暴露其背后的一切。更频繁的权限审查难以规模化。解决办法是把敏感数据从最难治理的地方移出来。

某些类别的敏感数据已经有更合适的归宿，通常是你已经拥有的系统。财务记录应放在财务平台，而不是共享盘。健康数据应放在你的合规计划已经管辖的临床或理赔系统中。这些都不是新想法，但值得把它当作真正的解决办法，因为它把这些数据从你否则要永远反复审计的那堆数据里移走了。

一般个人信息、受 GDPR 约束的资料，以及因为没人为它建立合适的归宿而留在旧共享中的任何内容，这些都是没有明显专用系统的数据。对这类数据，SharePoint 确实是更好的平台，而不仅仅是更整洁。敏感度标签会随文件本身一起移动，因此即使有人下载或转发文件，保护也不会消失，而普通文件共享开箱即用并不具备这种能力。标签还可以触发基于身份的访问：存放机密资料的站点可以在有人试图打开的瞬间要求 MFA，而不是信任任何拥有登录账号的人。而 Restricted Access Control 让你可以立即限定站点的实际受众，覆盖多年来累积的共享蔓延，而无需逐个组去梳理权限。最后这一点对 Copilot 及类似代理尤其重要：它们只会呈现提问者本来就有权访问的内容，因此缩小实际受众，也就缩小了任何 AI 代理能发现的范围。Netwrix 1Secure 现在就能帮你发现Copilot 暴露面。

同样的逻辑也适用于常驻权限

另一个不断累积的权限问题，是谁持有自己几乎不用的高权限。审查这份清单与审查每个文件权限一样，是无休止的打地鼠，只不过风险更高。特权服务账户因影响范围大，一直是攻击目标，而 AI 代理身份能够自主行动，把这一问题推向了新的高度。更持久的解决办法是即时（just-in-time）提权：为任务授予访问权限，让其到期失效，而不是让它一直处于随时可用的状态。专门用于此目的的特权访问工具已经存在，值得将其视为基础设施，而不是需要有人记得去执行的策略。

何时变得紧迫

如果你一开始不知道敏感数据究竟在哪里，数据这一半的工作就无从谈起，而这正是大多数团队跳过的一步。

常驻权限今天就可以修复，不必等待任何条件。但在数据方面，你无法重新架构自己看不见的东西。如果发现文件共享上存放着个人信息，这就是把它迁移到专门构建的地方（如 SharePoint）的信号。了解你拥有什么、它在哪里，是把敏感数据从无法保护它们的平台上移走的起点。这正是 Netwrix 1Secure 的用武之地。