授权记录和控制测试
维护一份授权登记册，其中应包含每个特权用户、雇主或客户的信息，包括其分配的角色、获准的公司和组、已批准的功能、审批所有者、生效日期、审核日期和撤销日期。诸如隐藏或无人值守访问、键盘记录、文件收集、命令、脚本、软件部署、导出、阻止和 USB 限制等高影响力功能应单独考虑，而不是捆绑到通用管理员角色中。
使用代表性账户测试权限。经理不应自动获得技术支持权限，支持技术人员也不应自动获得员工数据或客户范围报告。服务提供商必须将客户环境隔离，并在连接前确认客户和设备是否正确。临时访问权限应尽可能自动过期，或在任务完成后立即移除。
如果依赖用户同意，则应保留同意文本、语言、版本、时间戳、方式、身份信息和撤回历史记录。不要将无关的利益与可选的监控服务挂钩。如果在撤回后基于其他合法依据继续进行数据处理，则应解释该依据及其范围，而不是假装撤回无效。投诉和异议应提交给公正的审核员。定期审核应比对审批记录、产品角色、实际使用情况、支持报告、离职员工、调岗员工和客户分配情况。