随着企业信息化的不断发展，系统的数据安全也越来越受到各方的关注，而权限管理是保证数据安全的有效手段。所以对于信息系统，权限管理就显得越来越重要，并成为系统应用层安全的关键问题。同时，在信息系统在企业中的角色越发重要，利用信息系统共享的信息资源越来越多的情况下，很多研究发现，除了病毒或黑客等外部入侵会对信息系统安全带来危害，内部用户的异常操作同样会对信息系统的安全运营带来极大的威胁。信息系统用户行为审计就是对此类操作进行管理和监控。对于国家科研基金管理单位，国家自然科学基金委员会（以下简称基金委）工作的灵活性、保密性等特点，其项目信息管理系统的权限管理成为其至关重要的一个环节。保证了从用户角度研究如何更有效地利用计算机技术，加强用户行为的记录与审计，规范科学基金管理工作，提高组织绩效。　　基金委当前运行的业务系统主要包括科学基金网络信息系统（简称 ISIS系统）和计划与财务系统（简称 PFMS系统），其中 ISIS系统已运行十一年、PFMS系统也运行了五年。随着基金委项目数据量、业务工作量的快速增长，各级管理部门及管理人员对信息安全的要求不断提高，业务系统平台及其技术在数据访问、信息安全管理、监督审计等方面需要进一步的改进。通过对基金委现有信息系统的调研，发现仅通过用户工作职能划分角色已经不能适应不同种类业务的个性化需求，也难以根据角色的等级进行相应的管理工作。如果系统的权限管理没有合理的角色结构，也难以通过系统的方式落实基金委的管理策略。　　本文主要研究用户权限分配和行为审计的行业最佳实践、理论研究前沿、和基金委用户需求，根据这三方面研究提出设计方案和建议。另一方面，研究如何能更有效地使用信息技术影响用户行为，加强用户的信息安全意识，为用户工作提供知识和信息支持，实现相关的主动作业支持的概念。通过文献和关键数据资料，实证调研结果，设计灵活的权限管理结构，以支持基金委目前进行的新系统设计和持续改进。　　本文首先介绍权限管理和用户行为审计在信息系统安全中的关键性，说明科学基金管理系统在此方面的特殊性，并介绍论文结构;然后为文献综述，针对本文的研究问题，权限管理和信息系统用户审计两方面进行文献的收集，并总结了国内外研究的各类访问控制模型和用户审计的方法，为之后的方案设计提供理论支持;第三为案例介绍，介绍基金委业务及系统现状和特点，并根据数次访谈的资料总结需求，作为方案设计的基础和方案验证的依据;第四为方案设计，根据基金委的业务特点和需求，综合当前权限管理主要采用和研究的访问控制模型，设计一个合理有效的信息系统权限管理体系;第五为方案验证，依照所描述的基金委基金管理系统在权限管理和用户行为审计两方面的需求，总结验证点，设计案例，对于设计方案的有效性予以验证。最后为总结，提出本研究的研究结果、不足以及对后续研究的建议。　　本文是一篇探索性案例研究。首先将根据各种文献综述中对权限管理方法的总结。其次，根据多次调研的总结，对目前基金委对项目管理信息系统（主要指 ISIS系统）权限管理和用户行为审计的需求进行分析。用户需求是方案设计的关键，也是验证方案设计有效性的依据。本文从基金委信息系统管理的现状出发，从权限管理和用户行为审计两个方面对基金委的需求的调研，总结需要通过方案设计解决的问题，并以此为依据于第五章对方案的有效性进行验证。再次，本文以需求为依据进行权限管理方案的再造与设计，设计合理且灵活的权限管理和用户审计模式，为自然科学基金委新一代项目管理信息系统的建设提供参考建议。最后，通过总结验证的关键点，设计包含需验证内容的案例，根据第四章设计的方案对案例进行验证的步骤，对“角色-项目”松耦合的权限管理结构解决目前基金委信息系统所存在问题的有效性进行了验证。　　本论文的创新点在于，首先，为加强信息系统信息安全管理提供了两方面理论意义。从系统设计层面，总结了当前在研究和应用中主要的访问控制模型，并根据业务需求和访问控制特点，将其通过不同的维度的权限管理将其进行整合，形成一种灵活的权限管理模式，来适应业务需求的发展和变化。从用户操作层面，结合用户的权限结构，提出利用系统用户提供主动审计的服务方式。通过系统功能的设计，对用户的信息安全行为产生影响。其次，根据研究成果对基金委目前的基金项目管理系统以及未来系统的开发分别提出了实质的建议，对其基金委科学基金管理工作具有一定实践意义。同时，对其他科学基金管理机构的信息系统建设提供了一定参考意见。　　最后，本研究也认为针对信息系统的信息安全控制，权限管理和用户行为审计只是一种有效的手段，仍需要出台相应的管理制度对用户行为进行进一步约束，也可以使得系统权限管理和用户行为审计的设计模式有章可循，有法可依。管理制度和系统功能是相辅相成，相得益彰的。系统功能的设计应是实际管理制度的体现，管理制度也可以通过系统功能的限制得以有效的贯彻实施。