企业共享文件夹权限怎么设置？最小权限与定期复核清单

一、先确定资料负责人和业务边界

权限设置前先回答谁对这批资料负责、哪些岗位因工作需要访问、哪些内容含客户信息、财务数据、合同、员工资料或其他敏感信息，以及资料需要保存多久。IT可以实施权限，但不应代替业务负责人决定谁有权查看或删除业务资料。

NIST面向小型企业的网络安全框架快速指南建议了解谁能够访问企业信息和技术，只让确有需要的人员接触敏感信息，并在不再需要时移除权限。该指南不是中国企业的强制合规结论，但其按业务需要控制访问的方法可用于内部治理。

二、用岗位用户组承载权限，不逐人堆叠

优先建立与职责对应的组，例如财务只读、财务编辑、项目成员和项目负责人，再把员工加入或移出组。Microsoft的Windows访问控制说明建议将权限分配给组而不是逐个用户，这样人员变化时更容易保持一致并复核来源。

组名应说明范围和能力，避免使用“临时组1”或“所有人”承载长期权限。一个人兼任多项职责时可以属于多个明确的组；不要为了省事把其直接加入高权限管理员组。

三、把查看、编辑、删除和授权分开

“可读写”往往掩盖了多种动作。应根据平台能力分别考虑查看或下载、创建、修改、重命名、删除、恢复、分享、改变权限和取得所有权。日常整理文档的人不一定需要给其他人授权，上传凭证的人也不一定需要删除历史资料。

删除权限尤其需要结合备份、回收站、版本历史和审批方式设计。不给员工删除权限可能造成资料无法正常更新，给所有人完全控制又会扩大误删和滥用风险；应从真实工作流出发验证，而不是套用一个通用权限表。

• 只读：查看业务所需资料，但不能修改、删除或改变权限。
• 编辑：允许创建和修改，是否包含删除要单独确认。
• 维护：负责目录结构、归档和恢复，但不默认获得系统级管理权。
• 授权管理：能够新增成员或改变权限，应限制给明确负责人并保留变更记录。

四、Windows共享要同时核对两层权限

Windows文件服务器常同时存在共享权限和NTFS文件权限。Microsoft文档将网络共享访问和文件系统对象访问作为不同的权限层；只看其中一层，可能出现“共享界面显示允许但实际打不开”，或范围比预期更宽的情况。

检查时记录共享名称、路径、共享层的组与权限、NTFS层的继承关系和显式条目，再使用实际账号测试最终效果。不要在不理解继承和拒绝规则时批量替换子目录权限，也不要用管理员账号测试普通员工体验。

五、隐藏目录不等于真正阻止访问

Windows Server的基于访问的枚举可以让用户只看到自己有权限访问的文件和文件夹，但Microsoft明确说明，它只控制目录是否可见，真正的访问仍由共享权限和NTFS权限决定。把目录从列表中隐藏，不能代替权限设置。

云盘或协作平台也要区分界面可见性、搜索结果、共享链接和实际授权。检查公开链接、允许转发的链接、外部来宾和继承自上级空间的成员，避免只看某个文件详情页中的直接成员。

六、用允许与拒绝两组账号完成验收

权限上线后，至少用一名应该获准的普通账号完成读取、创建、修改或删除等规定动作，并用一名不应访问的账号尝试打开相同路径。再检查日志、回收站或版本记录是否能支持问题追溯。测试文件应为非敏感样本，不要拿真实合同或个人信息做权限实验。

验收结果要写明账号所属组、测试时间、入口、动作和结果。只验证管理员能打开目录没有意义；只验证“不能打开”也不足以证明授权员工能完成工作。

七、把人员变化和临时访问纳入复核

入职、转岗、离职、外包结束和项目关闭都应触发权限变更。临时权限应记录批准人、理由、资源范围和到期时间，并在到期后验证确已移除；不要依赖员工或项目负责人自行记得通知IT。

企业还应按资料敏感度设定复核频率，由业务负责人确认用户组成员、外部分享、高权限账号和长期未使用访问是否仍有需要。复核不是把名单导出存档，而是形成保留、调整或撤销的明确决定，并对异常项设定完成时间。