员工离职后企业账号怎么回收？一份当天可执行的IT交接清单

一、先把离职交接变成一个有触发人的流程

账号回收容易遗漏，通常不是因为某个按钮不会操作，而是人事、直属负责人、行政和IT之间没有明确触发关系。离职日期确定后，应由指定负责人发起一张清单，写明最后工作时间、交接接收人、账号处理时间和执行人；正常离职与需要立即停权的特殊情况，应由企业按人事、法务和安全要求分别决定。

NIST CSF 2.0实施示例在PR.AA-05中提出，人员变更角色或离开组织时应复核逻辑与物理访问权限，并及时撤销不再需要的权限。对中小企业而言，最小可行做法是把离职人员、系统或设备、当前权限、处理动作、执行人和结果放在同一张可复核清单里。

二、离职前先盘点六类账号和介质

只停用企业邮箱并不代表完成交接。员工可能通过邮箱单点登录其他服务，也可能持有独立创建的SaaS账号、网站后台、社交媒体、远程桌面或共享文件权限。盘点应从工作职责和实际使用记录出发，而不是只照人事花名册勾选。

建议至少核对以下六类对象；无法确认是否仍在使用的账号先标记待核验，不要为了“清零”而贸然删除业务数据。

• 身份与通信：企业邮箱、统一身份、即时通信、通讯录、会议和企业微信等组织账号。
• 业务与数据：云盘、共享文件、CRM、财务或进销存系统、项目协作、代码仓库和客户服务平台。
• 网络与远程：VPN、远程桌面、堡垒机、NAS、办公Wi‑Fi管理、路由交换设备及远程支持工具。
• 高权限与所有权：域名、网站后台、云资源、社交媒体、广告平台、公众号和各类管理员或账单联系人。
• 共享凭据与恢复方式：共享账号、公共设备口令、恢复邮箱、恢复手机号、MFA设备和备用恢复码。
• 实物与物理访问：电脑、手机、U盘、门禁卡、钥匙、数字证书载体及带有企业数据的个人设备授权。

三、离职当天按八步执行并留痕

执行顺序应兼顾阻止继续访问和保留正常业务。Microsoft 365的官方离职流程同样把阻止登录、保留邮箱内容、处理移动设备、转交邮件与OneDrive数据、移除许可证和删除用户拆成不同步骤，说明“停用访问”“数据交接”和“最终删除”不是同一个动作。其他平台的按钮和保留规则可能不同，应查看各自官方文档。

• 确认指令：核对离职人员、停用时点、审批人和数据接收人，避免提前停错账号或延迟处理。
• 阻止登录：停用主要身份账号，并按平台能力撤销现有会话、应用密码、访问令牌和远程连接。
• 撤销权限：移出管理员组、共享目录、群组、VPN、远程支持及第三方SaaS，不只解除单个应用入口。
• 处理共享凭据：更换离职人员知道的必要共享口令、恢复信息和MFA绑定，并优先改造成个人账号授权。
• 转交业务：把文档、工单、客户联系人、自动化任务和必要邮箱内容交给明确接收人，记录所有权变化。
• 回收实物：按资产编号核对电脑、移动设备、门禁卡和密钥介质；归还状态与缺失项写入交接记录。
• 检查终端：确认企业数据、浏览器登录、同步盘、VPN和证书的处理方式；涉及个人设备时按企业授权和隐私规则操作。
• 记录结果：保留执行时间、执行人、成功或失败状态、待办事项和复核人，不在清单里记录明文密码。

四、先完成数据和所有权交接，再决定何时删除

停用账号通常可以快速阻断访问，而删除可能影响邮件接收、共享文件、历史审批、客户联系和审计记录。因此应先确认业务数据由谁接收、哪些内容需要保留、哪些自动任务依赖原账号，再按平台规则和企业的数据保留制度处理许可证、归档与删除。

不要把某个厂商的保留期限套用到所有系统。Microsoft官方文档会说明其邮箱和OneDrive的具体处理步骤，但企业自建系统、国内SaaS、财务数据和客户资料可能有完全不同的合同与保留要求。涉及劳动争议、诉讼、监管或个人信息删除时，应由企业管理层、法务或合规人员作出决定，IT只执行经确认的范围。

五、离职后再做一次反向复核

英国NCSC的身份与访问管理指南建议建立入职、转岗和离职流程，并覆盖员工用工作身份创建的外部在线服务。离职当天完成主账号处理后，企业还应从系统端反向查看活跃用户、管理员、共享链接、第三方应用授权和近期登录记录，寻找花名册之外的残留入口。

复核时可以按“人找账号”和“系统找人”两条路径交叉检查：从离职人员职责查其可能使用的服务；再从关键系统的用户与管理员列表查是否仍有该人员、私人邮箱或无人负责的共享账号。发现遗漏后补充到标准清单，使下一次交接不再依赖个人记忆。