权限开通和审计都由同一人完成，缺少哪项安全控制？

正确答案 B

题目缺口是自己操作、自己批准、自己审查，直接对应职责分离。最小权限、强身份验证和日志留存都有价值，但不能单独消除自批自审，选B。

抓住“仍由同一名管理员完成”，就能找到这道题的落点。假设小李给自己增加了导出权限，又由自己批准，月底再由自己认定操作合规：即便他原本只能管理一个模块，冲突职责还是集中在他手里。最小权限回答的是“这个角色需要多少权限”，职责分离回答的是“哪些有冲突的事情不能让同一个人独立完成”。所以B不仅调整岗位分工，还要让系统授权落实这种分工。A是在缩小权限范围，C是在确认登录者身份，D是在增加追溯材料，三者都没有打断自批自审。这里要求分离的是相互冲突的职责，不是所有工作都必须一项配一个人；职责分离也不能被理解成能彻底消除多人串通等风险。

选项分析

A

缩小模块范围属于权限范围控制，但在剩余模块内仍可自批自审，没有直接解决冲突职责。

B

把相互制约的操作、批准与审查交给适当的不同角色，并用授权落实，是针对题干缺口的措施。

C

身份验证更强有助于防止冒名登录，无法限制已经通过验证的管理员批准和审查自己的行为。

D

日志保存更久便于追溯，但审查仍由同一操作人独立完成，没有形成所需的职责制约。

再巩固一步

• 先判断是在问权限过大、身份不明，还是职责冲突，再分别对应最小权限、身份验证、职责分离。