HR 系统权限与敏感数据清单整理

场景

同一套 HR 系统里既有普通员工自助信息，也有薪酬、健康、绩效和劳动争议资料。要让 AI 智能体查询或处理数据，首先得知道“哪些数据、谁有权看、为了什么目的”。AI 可协助盘点字段与权限冲突，不得自行开放权限。

输入

收集系统清单、角色权限导出、字段字典、接口与服务账号、部门与岗位、实际审批记录及离职/调岗流程。权限导出可能非常敏感，只在受控环境处理。不要把管理员密钥、令牌直接交给通用对话工具。

操作

先按系统—表—字段列资产目录，将字段分普通、个人信息、敏感个人信息、企业保密信息等，分类由数据/法务负责人确认。再把角色与可读、可改、可导出、可授权权限映射到字段。AI 找出明显冲突：离职人员仍有账号、岗位变更未撤旧权、服务账号可导出全量薪酬、普通客服可见完整身份证号。每项异常附系统和权限记录，交 IT 与数据负责人核实；整改前评估业务依赖，避免一键收权导致流程中断。对智能体单独列可访问范围、可执行动作、人工批准点和审计日志。

提示词：

根据以下系统字段与角色权限导出，生成敏感数据资产和权限对照表。标出过宽权限、离职/调岗遗留权限和服务账号风险，附原始记录位置；只给复核清单，不改变任何权限或输出密钥。资料：〔脱敏/受控导出〕。

验收与来源

抽查不同角色实际能访问的页面与接口，确认导出权限不被遗漏。A0451《DeepSeek 人力资源应用场景方案设计》提出访问控制、加密和审计日志，但为概念性方案；上述字段盘点与异常核查是本文的具体设计，不能假称系统已部署。

权限矩阵示例

普通员工只能查本人假期与工资；直属主管可看本团队必要的假勤和绩效事项，但不应自动看到完整身份证号；薪酬专员按职责处理薪资数据，系统管理员维护配置并不等于有业务上查看工资明细的理由。AI 智能体的权限还需更细：是否仅能读、能否导出、能否修改、每次请求是否记录发起人。角色名称相同也可能在不同系统有不同实际权限，必须做实际访问测试。

调岗离职的复核

员工从招聘岗位转到培训岗位时，新权限开通并不代表旧简历库权限已经撤销；离职后服务账号可能仍绑定个人。AI 可从人事异动日期与权限导出中找出疑点，IT 核对后按流程回收。整改记录应说明原权限、处理动作、完成时间和验证人，避免下次盘点又出现同一问题。

从数据到动作的权限设计

权限不只是“能看哪张表”。同一员工资料，查看本人、查看团队汇总、导出全量、修改工资、发起审批是不同动作。一个 AI 智能体可能需要读取部门人数，但不需要读取个人身份证号；需要生成调岗通知草稿，但不需要直接改正式岗位。权限矩阵应按角色、数据范围、动作和审批条件四维展开，注明业务依据及到期日期。

AI 可帮助盘点授权异常，但需谨慎解释。例如某主管有前部门的历史绩效查看权，可能是系统遗留，也可能因合法的交接期存在；应标“待核”，由业务和 IT 决定收回。服务账号或连接器还要查令牌有效期、调用日志、负责人和供应商边界。若权限过宽，先确定哪些流程依赖该权限，制定替代与回退，再执行收权，避免一刀切停掉人事业务。

每季度可用人员异动记录与权限台账对照，特别抽查离职、转岗与临时授权到期。对外部供应商及 AI 工具的访问，另需确认数据保存与传输范围。清单本身包含敏感系统结构，应限制访问和导出。

交付与验收清单

• 数据字段、角色、动作和范围四维权限清楚。
• 离职、调岗和临时授权到期有复核。
• 服务账号、连接器与令牌都有负责人和日志。
• 收权前确认业务依赖，收权后验证实际访问结果。

系统管理员能配置权限，不代表业务上应查看所有员工资料。