"离职员工的卡还能开门"是门禁系统最常见的隐患，问题不在设备，而在权限管理流程。发卡、授权分级、临时授权、换岗回收、挂失审计这五个环节只要有一个漏了，物理门禁就等于白配。本文按员工生命周期给出一套可直接套用的门禁权限管理制度。
发卡：入职建卡与制卡规范
新员工入职后 7 个工作日内完成制卡是比较松的窗口，实践上建议入职当天走完申请、制卡、激活三步。发卡要走审批：申请人发起、部门主管确认、权限管理员执行，三方缺一不可。卡片本身的安全级别要匹配岗位：普通区域用 IC 卡即可，涉及机房、财务、研发等敏感区域，建议换 CPU 卡或加密卡，避免读卡数据被截获复制。系统里每张卡与人员一一对应，卡号、姓名、部门、生效时间关联存档，避免"有卡无人"。
授权分级：区域分级与时间权限
权限不是"全楼通用"，要按区域分级和时段限定做矩阵。
| 区域级别 | 示例 | 授权对象 | 建议措施 |
|---|---|---|---|
| 核心区 | 机房、财务室、档案室 | 仅名单内人员 | 刷卡+人脸/指纹二次验证 |
| 办公区 | 办公楼层、会议室 | 本部门及协作人员 | 刷卡通行 |
| 公共区 | 大堂、走廊、茶水间 | 全员 | 正常放行 |
时间权限同步做：普通员工默认工作日 8:00–20:00 有效，夜班按班次单独授时，非工作时间开门（尤其核心区）应触发异常告警。授权变更走同样的审批流并在系统留痕，不建议由一线管理员直接改权限。
临时授权与访客管理
临时授权是权限泄漏的高发区，要点是"有限期、限次数、可撤销"：
- 访客临时卡/临时码设有效期，参考口径 72 小时，到期自动失效，不要发"长期临时卡"。
- 外包人员按项目期授权，项目结束即回收，不跨项目复用。
- 远程开门权限只授给安保值班和指定管理人员，操作留记录，避免"随手远程开门"成习惯。
- 临时授权必须与来访审批单对应，谁申请、谁审批、谁使用三者可追溯，没有审批单的授权一律不发。
换岗与离职回收：别留后门
换岗和离职是权限管理最容易失守的两个节点。员工调部门或搬家办公区，交接清单里必须包含"门禁权限变更"一项，旧区域权限立即收回、新区域权限重新申请，不能新旧权限并存。离职权限回收的硬性要求是：最后工作日下班前清除员工卡权限，并同步删人脸、指纹等生物特征数据。
更稳妥的做法是系统支持"静默删除"：员工离开后 24 小时权限自动失效，既保证交接期内正常出入，又确保身份过期后无法再开门。离职流程收口：HR 系统触发"归还电脑、结清借款、注销账号"的同时，把门禁权限清除列为必办项，没完成回收不能做离职办结。
挂失、补办与异常告警
丢卡要"先作废再补办"。发现遗失立即在系统作废原卡，同时开告警——原卡在作废后任意一次刷卡尝试都应触发监控中心提示，防止有人捡到卡试门。补办新卡后，旧卡数据从系统彻底清除并记录物理销毁情况，不要"丢了再补一张"了事。门卫室和监控中心对读卡器响应异常（如响应时间明显超常）也要能及时发现，这类异常往往指向设备被破坏或线路被改动。
审计与复查：日志与定期盘点
管理制度要落地生效，靠的是定期盘点：
- 权限清单按月导出，与部门花名册核对，清理"已离职未回收""已调岗未变更"的僵尸权限。
- 开门记录按周抽查，重点看非工作时间、非授权区域的开锁记录。
- 系统日志保留操作人、操作时间、变更内容，权限变更操作要能追溯到人。
- 访客卡、临时卡每季度盘点一次数量和有效期，过期未回收的强制作废。
把这套动作放进月度运维例行工作里，门禁系统才真正"管得住"，而不是"装得好看"。
参考资料
门禁管理与卡务实操手册（发卡、挂失、权限回收流程）、门禁权限区域分级与临时授权实践资料、人员离职流程与系统联动管理文章。
TL;DR
- 发卡三方审批：申请人、主管确认、管理员执行，卡与人员一一对应。
- 权限按区域分级＋时间限定：核心区刷卡加二次验证，非工作时间异常开门告警。
- 临时授权"有限期、限次数、可撤销"，与审批单对应，杜绝长期临时卡。
- 离职最后工作日下班前清权限，静默删除 24 小时自动失效，HR 流程强制回收。
- 月度盘点权限、周查开门记录，日志可追溯，僵尸权限定期清理。
参考资料
- access-control-basics
- access-card-cpu-security-upgrade
- visitor-id-verification-compliance
- remote-access-control-security