这是一个常见问题，您必须记住的一件事是InfoSec 为公司服务。你的管理团队经营公司，所以他们的需求就是公司的需求。

你的工作是教育、教育、教育，不仅涉及技术细节，还涉及财务影响和风险分析。但是，最终，这是他们的电话。

如果他们仍然决定保留本地管理员权限，那么您需要制定一个计划来降低发生这种情况的风险，并就该计划的成本和风险对他们进行教育。

作为技术人员，宣扬“最佳实践”可能很容易，但即使您不同意，也需要为公司利益服务。教育、建立关系并制定后备计划，但归根结底是管理层的召唤。

给他们两台笔记本电脑：通用型和高安全性。

通用笔记本电脑有点像你描述的，安全性和可用性之间的平衡。事实上，您的安全措施非常好，肯定比平均水平要好。希望你能阻止常见的病毒，但你永远无法阻止高级攻击者。

高安全性笔记本电脑仅用于访问内部系统和执行敏感工作。没有网络浏览访问权限，因此没有基于浏览器的恶意软件的范围。你完全防火墙它，除了一个 VPN 连接回到基地。允许访问仅供 VIP 使用的内部文档存储。可能还有一个安全的加密电子邮件系统（请单独询问更多详细信息）。

从本质上讲，这是为笔记本电脑设置气隙，尽管它不是 100% 的气隙。您可以使用虚拟化或瘦客户端在一台笔记本电脑上执行此操作。这种部署很少见，但我开始在商业环境中看到它们。

如果你在某处工作，而高层人士愿意在你说“不”时支持你，那么限制管理的答案是最好的。另一方面，如果所有者/首席执行官坚持并且无法劝阻他们，则可能需要不太有效的策略。

大多数其他答案都更好，但我想添加一种我被告知的好方法。

CEO 有他们可以登录的普通用户级帐户，他们还获得了禁用登录的管理员帐户和密码（以防止他们将其用作普通帐户），但可以在用户想要提升时使用某物。

帐户和密码是这个主题的变体：

用户名：“这是一个病毒” 密码：“RunVirusNow!-&FDK£)S*SJK”

在讲述这个故事的人的情况下，感染问题急剧下降，因为用户必须面对这个问题才能运行任何实际上让他们思考片刻的东西。

我 100% 同意大多数其他答案，即您必须保护 VIP 免受自己的伤害；我见过的最严重的问题来自董事或 C 级管理人员，他们在工作电子邮件帐户上点击“我爱你”病毒。

也就是说，保护公司数据的道路上有一条细线，当跨越时，会触发简历更新过程。您必须教育他们，帮助他们，并尝试在业务限制范围内解决业务目标。

到目前为止一切顺利，但他们需要管理员权限以防万一（无需致电帮助台）。

这种“以防万一”，他们（正式）是否期望它经常出现？如果他们希望它很少见，那么他们不应该需要他们的主登录来拥有它们，这为您提供了多种选择。您需要利用您对他们和您的公司的了解来为“始终授予我们的主要帐户域管理员权限”以外的任何内容提出理由。

• 如果他们只在办公室时才需要这个，并且可能只有其中一个可用时，则将域管理员用户名和密码放在保险箱中，可能在信封上贴上老式蜡封，标有“Break在管理的情况下”或您的公司喜欢的任何东西。
  • 定期审核该用途的登录；最好设置一个使用时的自动电子邮件。
  • 定期审核信封。
  • 高级课程：需要两把钥匙，而不仅仅是一把，也许是Apricorn 加密的拇指驱动器或类似的。
    • 你猜对了，仍然把拇指驱动器放在一个密封的信封里。
• 如果他们远程需要，并且只有其中一个人需要它，但是当他们可以联系另一个人（电话、电子邮件等）时，那么您就有了一个奇特的选择（还有其他好处）！
  • 阅读是否有一种算法可以安全地将消息拆分为 x 部分，需要至少 y 部分重新组装？
  • 实施其中一种算法，让管理层决定 X 和 Y 需要是什么。
    • 鼓励他们使 Y 严格大于 2。
    • 请注意，他们不需要联系帮助台，但如果其中一个确实需要域管理员权限来做某事，则此技术需要至少 Y-1 名管理团队的其他成员批准他们的访问权限（或失去他们的关键部分，任何）。
    • 在理想情况下，这也意味着任何处理关键问题的人至少有 Y-1 人可以提出想法或帮助他们，或者至少知道第二天早上发生的火灾。
  • 定期审核该用途的登录；最好设置一个使用时的自动电子邮件。
  • 请注意，像 Vormetric 这样的高端加密产品使用这种技术来拆分其自己的 HSM（硬件安全模块）备份的加密密钥。
• 如果一切都失败了，给他们每两个帐户；一个具有正常的、可能非常弱的最少 8 个字符的密码的普通帐户……以及一个具有“更安全”的 15 到 20 个字符密码的域管理员帐户。
  • 阅读域管理员帐户的专用密码策略流程
  • 这里的目标很简单；使用域管理员帐户比使用常规帐户更烦人，以至于他们几乎不可能一直使用域管理员帐户登录。
  • 你必须喝Kool-Aid；所有域管理员都必须遵守该政策
• 连连看。

我对他们要求的“不联系服务台”部分有点好奇；服务台是否人手不足，是否存在筒仓/封地心态、个人摩擦或其他原因？您可能也想尝试解决这个问题。