自动化之前先对流程分级
不同重复任务的后果并不相同。应评估数据敏感度、自动决策、可逆性和失败影响。
高风险流程需要更强的审批、证据和回退控制。
- 数据敏感度
- 财务或法律影响
- 可逆性
- 外部依赖
- 人工审批
使用明确的服务身份和最小权限
自动化不应依赖共享员工账户。使用专用身份、有限权限、受管密钥和明确负责人。
系统、团队或供应商变化时，应重新审查访问权限。
把异常处理设计成主要旅程
定义重试、重复防护、部分失败、人工复核，以及运营人员如何理解发生了什么。
幂等性和清晰状态能降低重复不可逆操作的风险。
可信自动化会让失败可见、受限并可恢复。
同时度量技术和运营结果
日志应回答哪个流程在何种身份下对哪条记录执行并产生什么结果。
指标还应证明人工工作量和周期时间是否真正改善。
- 执行成功率与延迟
- 重试和死信
- 业务异常
- 人工干预
- 结果指标
通过版本和责任治理变更
记录依赖、测试、发布说明和回退步骤。即使使用低代码平台，也应按软件变更管理自动化。
定期检查闲置流程、过期凭据、供应商变化和不再匹配流程的控制。
分离自动化逻辑、凭据与控制权限
当工作流定义、密钥、审批和运行权限分别管理时，自动化会更安全。为了方便而编写的脚本不应自动继承对生产数据或管理操作的广泛访问权限。
应使用范围受限的服务身份、集中管理并轮换的密钥、环境隔离、高影响操作的明确审批，以及经过记录的紧急停止机制。当连接器、账户或指令出现异常时，这些措施可以限制影响范围。
- 最小权限服务身份
- 托管与轮换凭据
- 按环境划分权限
- 破坏性或高价值操作审批
- 暂停、回滚与恢复控制
为重要自动化决策保留可调查证据
对于有实际后果的流程，应记录触发事件、运行的规则版本、使用的数据、发生的变更，以及是否有人审批或覆盖结果。日志需要支持调查，同时避免保存不必要的敏感内容。
应定期审查失败率、人工覆盖、连接器变化、异常流量和恢复时间。复盘结果应转化为新的阈值、测试、权限或文档，而不是停留在一个无人处理的监控面板。
安全自动化应当可观察、可中断、尽可能可逆，并由能够及时响应的团队负责。