资产表记录控制关系，不记录群聊密码
社媒账号资产盘点表应记录账号是谁的、谁能访问、如何恢复、使用哪个环境、服务哪个业务、当前状态和最后一次复核证据。密码与验证码不应直接放进普通表格；资产表只记录受控凭据入口和责任人。这样盘点的对象才是可管理资产，而不是一串用户名。
例如，1 个 Instagram 主账号至少要能追溯所有者、当前管理员、恢复责任人和凭据库条目，而不是只留用户名与密码。
12 个必填字段
| 字段 | 记录内容 | 检查问题 |
|---|---|---|
| 1. Asset ID | 组织内部唯一编号 | 改名后是否仍能追踪 |
| 2. Platform | TikTok / Instagram / Reddit / X | 平台规则与角色是否匹配 |
| 3. Handle & URL | 当前账号名和公开链接 | 是否指向真实账号 |
| 4. Legal / Business Owner | 品牌、客户或组织主体 | 谁拥有最终控制权 |
| 5. Business Purpose | 品牌、区域、垂类或实验角色 | 账号为什么存在 |
| 6. Market & Language | 国家、地区、语言 | 内容和时区是否匹配 |
| 7. Authorized Operators | 当前人员与角色 | 是否遵循最小权限 |
| 8. Credential Reference | 受控凭据库条目 ID | 是否避免明文密码 |
| 9. Recovery Owner | 恢复邮箱/号码的责任主体 | 离职后是否仍可恢复 |
| 10. Environment | 设备或云端环境关系 | 最近变化是否有记录 |
| 11. Status & Risk | 可用、观察、暂停、停用 | 是否会误入批量任务 |
| 12. Last Review | 日期、复核人、证据 | 信息是否仍然有效 |
这是最小模板。广告账户、商业管理平台、授权到期、合同项目和数据保留等字段可按业务增加，但不要删除所有权、恢复和复核三类核心信息。
具体落地时，可以先用这 12 个字段盘点 A 层核心账号，确认没有空值后再扩展到其他账号组。
为什么密码不应该成为第 13 个字段
普通表格很容易被复制、转发、下载和长期缓存。密码、验证码、恢复码等敏感信息应保存在支持访问控制、审计与撤销的凭据系统中。资产表只写凭据条目 ID，授权人员按流程访问。
CISA 提供的强认证说明强调强密码与多因素认证。具体平台还可能提供业务角色或委派访问，应优先使用官方能力。团队共享主密码虽然看起来快，却让离职回收和责任追踪变得困难。
盘点时逐个验证，不要只看旧表
盘点不是把去年表格复制到今年。至少验证公开 URL 是否有效、账号显示名是否变化、所有者和管理员是否仍在岗、恢复邮箱或手机号是否仍由组织控制、环境关系是否准确、最近任务是否符合账号角色。
例如一个表格写着“正常”的账号，实际已 90 天没有成功任务且恢复邮箱属于离职员工，就不应继续算作可用资产。90 天只是说明证据过旧的示例，团队应按账号价值设置复核周期。
先盘核心账号，再处理长尾资产
可以按业务影响与恢复难度分为 A、B、C 三层。A 层包含品牌主账号、重要客户和直接产生业务的账号，优先复核所有权、恢复与管理员；B 层是稳定运营账号；C 层是实验、停用或待处置账号。分层决定复核频率，不代表低层账号可以无人负责。
例如团队有 100 个账号时，可以先完成 10 个 A 层账号的复核，再按风险处理 B、C 层，而不是平均分配时间。
接手老账号如何审计提供账号历史检查方法，账号分组策略则帮助把盘点结果变成任务边界。盘点结束后，暂停和停用账号应从可发布分组移除。
人员与客户变化要触发即时盘点
定期盘点之外，员工离职、客户签约或终止、供应商更换、恢复方式变化、账号改名和安全事件都应触发复核。变更当天至少确认访问撤销、恢复控制、待执行任务和素材归属，不能等下一个季度。
例如客户终止合作时，团队需要确认账号、素材和任务分别如何交接。可以结合客户终止合作的账号交接与员工离职后的权限回收执行。
所有权不清楚时，先停止高风险动作
如果团队无法证明谁拥有账号、恢复信息由谁控制或合同如何约定，就不应继续修改管理员、绑定方式或发布重大内容。先由业务负责人、客户和必要的法律人员确认边界，再恢复动作。工具不能替代合同和平台规则。
NIST 网络安全框架 2.0 的资产识别与治理资源强调组织需要了解资产和责任。它不是社媒合同指南，但支持盘点的核心逻辑：不知道资产归属，就无法设计保护、响应和恢复。
能登录不等于拥有控制权
Ainnc 运营研究组认为，团队最容易高估“当前能登录”的意义。浏览器里保留的会话可能随时失效，而真正的控制权来自清楚所有权、可撤销访问、受控恢复和持续复核。资产表要证明这些条件，而不是证明某位员工记得密码。
例如，一个账号连续登录 180 天也不能证明组织拥有恢复权；只有恢复邮箱、管理员和所有权都经过复核，控制关系才完整。
共享密码的风险进一步说明了为什么认证信息不应成为协作方式。一个成熟的账号体系会让人员可以更换，而资产的所有权和恢复能力不随个人离开。
盘点完成的三个证据
一次盘点只有在 3 类证据齐全时才算完成：每个账号有明确所有者和业务角色；访问与恢复由当前授权人员控制；最后复核日期能关联到实际检查结果。把这三类证据写入系统后，账号才真正进入可管理状态。
常见问题
社媒账号资产表需要保存密码吗？
不建议把密码直接放进普通表格。资产表记录受控凭据的位置、所有者和恢复流程，密码应由合适的凭据管理系统保护。
社媒账号资产多久盘点一次？
核心账号可按月或在人员、客户、权限变化后立即复核；其他账号按风险设置周期，并记录最后复核日期。
代运营公司和客户谁是账号所有者？
应按平台规则与合同明确，通常品牌资产需要客户拥有最终控制和恢复能力；具体责任应在合作开始前书面确认。
停用账号还需要保留在资产表吗？
需要保留状态、停用原因、数据与素材归属、权限撤销和处理日期，避免未来被误当成可用账号重新进入任务。