系統(tǒng)賬號(hào)管理辦法.doc

系統(tǒng)賬號(hào)管理辦法系統(tǒng)賬號(hào)管理辦法 文檔信息文檔信息 機(jī) 密級(jí)分類 版本版本日期日期人員人員更新說(shuō)明更新說(shuō)明 V1 02010 10 27 版 版本控制 審核人審核人職務(wù)職務(wù)審核日期審核日期 文 文檔審核 批準(zhǔn)人批準(zhǔn)人職務(wù)職務(wù)批準(zhǔn)日期批準(zhǔn)日期 文 文檔批準(zhǔn) 部門部門人員人員文檔權(quán)限文檔權(quán)限 復(fù) 分發(fā)控制 復(fù)查時(shí)間復(fù)查時(shí)間復(fù)查人員復(fù)查人員復(fù)查結(jié)果復(fù)查結(jié)果 復(fù) 復(fù)查計(jì)劃 第一章第一章 總總 則則 第一條目的 為保障企業(yè)信息化系統(tǒng)的安全 穩(wěn)定運(yùn)行 切實(shí)防范和降 低因非法或不適當(dāng)?shù)膶?duì)系統(tǒng)或數(shù)據(jù)的訪問(wèn)而帶來(lái)的風(fēng)險(xiǎn) 加強(qiáng)對(duì) 系統(tǒng)訪問(wèn)和權(quán)限分配的管理 根據(jù)相關(guān)規(guī)章制度 特制訂本管理 辦法 第二條本管理辦法適用范圍 第三條系統(tǒng)范圍 支撐和企業(yè)信息化各系統(tǒng) 包括 BOSS 系統(tǒng) 以及支撐 以上各系統(tǒng)的網(wǎng)絡(luò)平臺(tái)系統(tǒng) 第四條人員范圍 對(duì)上述系統(tǒng)進(jìn)行使用和開(kāi)發(fā)維護(hù)的人員 包括各系統(tǒng) 的最終用戶 系統(tǒng)賬號(hào)權(quán)限管理人員 提供系統(tǒng)集成 開(kāi)發(fā) 維 護(hù) 和技術(shù)支持服務(wù)的非本公司人員 第三方人員 第二章第二章 相關(guān)定義相關(guān)定義 第五條賬號(hào)是指每個(gè)可訪問(wèn)系統(tǒng)資源的用戶在系統(tǒng)中的標(biāo)識(shí) 可分為應(yīng)用 系統(tǒng)賬號(hào) 操作系統(tǒng)賬號(hào)和數(shù)據(jù)庫(kù)賬號(hào)等 應(yīng)用系統(tǒng)賬號(hào)是指在 應(yīng)用系統(tǒng)中建立的用戶標(biāo)識(shí) 用戶可以通過(guò)應(yīng)用系統(tǒng)提供的前臺(tái) 操作界面進(jìn)行登錄 并使用授權(quán)的業(yè)務(wù)功能和訪問(wèn)授權(quán)的業(yè)務(wù)數(shù) 據(jù) 操作系統(tǒng)賬號(hào)是指在主機(jī)系統(tǒng)中建立的用戶標(biāo)識(shí) 用戶可以 登錄主機(jī)設(shè)備和發(fā)出操作指令 數(shù)據(jù)庫(kù)賬號(hào)是指在數(shù)據(jù)庫(kù)系統(tǒng)中 建立的用戶標(biāo)識(shí) 用戶可以登錄數(shù)據(jù)庫(kù)系統(tǒng)并訪問(wèn)其中的數(shù)據(jù) 第六條訪問(wèn)權(quán)限是指賬號(hào)被賦予的可以訪問(wèn)系統(tǒng)資源和使用系統(tǒng)功能的 權(quán)利 第七條賬號(hào)管理員是指負(fù)責(zé)在系統(tǒng)中執(zhí)行賬號(hào)管理操作的人員 例如在系 統(tǒng)中創(chuàng)建或撤銷賬號(hào) 分配或修改賬號(hào)權(quán)限 定期提供系統(tǒng)中的賬 號(hào)和權(quán)限清單供審閱等 第八條賬號(hào)審批人員是指有權(quán)對(duì)賬號(hào)和權(quán)限的管理操作進(jìn)行審批和決策 的人員 包括各部門負(fù)責(zé)人 業(yè)務(wù)負(fù)責(zé)人 安全管理員或經(jīng)部門 領(lǐng)導(dǎo)授權(quán)的人員等 第九條系統(tǒng)管理員是指負(fù)責(zé)對(duì)系統(tǒng)進(jìn)行維護(hù)和管理的人員 例如操作系 統(tǒng)管理員 數(shù)據(jù)庫(kù)管理員 賬號(hào)管理員等 第十條歸檔人是指負(fù)責(zé)執(zhí)行文檔資料歸檔保存操作的人員 第三章第三章 職責(zé)分工職責(zé)分工 第十一條BOSS 系統(tǒng)使用部門內(nèi)部應(yīng)用賬號(hào)和權(quán)限的審批和相關(guān)管理操作由 各部門負(fù)責(zé) 信息化部負(fù)責(zé)管理本部門應(yīng)用系統(tǒng)維護(hù)人員的賬號(hào)和 權(quán)限 并執(zhí)行對(duì)各使用部門應(yīng)用賬號(hào)管理員的賬號(hào)和權(quán)限進(jìn)行管 理的相關(guān)操作 各需求部門負(fù)責(zé)明確應(yīng)用系統(tǒng)新增功能的開(kāi)放范圍 第十二條BOSS 系統(tǒng)應(yīng)用賬號(hào)和權(quán)限的審批由各職能管理部門負(fù)責(zé) 各使用 部門負(fù)責(zé)向職能管理部門提出應(yīng)用系統(tǒng)賬號(hào)和權(quán)限申請(qǐng) 信息化 部負(fù)責(zé)在 BOSS 系統(tǒng)中執(zhí)行賬號(hào)和權(quán)限管理的相關(guān)操作 第十三條各系統(tǒng)操作系統(tǒng)層和數(shù)據(jù)庫(kù)層和網(wǎng)絡(luò)層賬號(hào)和權(quán)限的管理由信息 化部負(fù)責(zé) 第四章第四章 基本原則基本原則 第十四條對(duì)系統(tǒng)的訪問(wèn)必須經(jīng)過(guò)授權(quán) 任何人不得在未經(jīng)授權(quán)的情況下在 系統(tǒng)中運(yùn)行未經(jīng)審批的程序 授權(quán)可以通過(guò)書面文件 或通過(guò)員 工按崗位的分工等方式實(shí)現(xiàn) 授權(quán)必須經(jīng)過(guò)正式審批方可生效 第十五條各系統(tǒng)必須采用用戶名和密碼認(rèn)證方式實(shí)現(xiàn)登錄控制 對(duì)系統(tǒng)的 訪問(wèn)必須使用唯一的賬號(hào)和口令 第十六條各系統(tǒng)中不允許建立共享賬號(hào) 每個(gè)賬號(hào)都與唯一的用戶相對(duì)應(yīng) 擁有賬號(hào)的用戶不得隨意將賬號(hào)交于他人使用 第十七條賬號(hào)權(quán)限的分配應(yīng)遵循滿足需求的最小授權(quán)原則 即為用戶分配 權(quán)限時(shí) 以其能進(jìn)行系統(tǒng)管理 操作的最小權(quán)限進(jìn)行授權(quán) 避免 為其分配無(wú)關(guān)的或更大的權(quán)限 第十八條各系統(tǒng) 主機(jī) 數(shù)據(jù)庫(kù) 網(wǎng)絡(luò) 應(yīng)用 都應(yīng)有完整的帳號(hào)權(quán)限分 配現(xiàn)狀記錄表 且展示形式清晰 可以方便查詢到指定用戶的權(quán) 限 第十九條每月備份帳號(hào)權(quán)限分配記錄表 備份信息保留至少兩年 第二十條有關(guān)用戶登陸和賬號(hào)權(quán)限管理的相關(guān)操作在系統(tǒng)中要留有日志 日 志至少保留兩年以上 第二十一條創(chuàng)立新用戶角色或?qū)τ脩艚M或用戶角色定義進(jìn)行修改時(shí) 應(yīng)考慮 不相容職責(zé)分工原則 例如操作人員與審核人員的分離 開(kāi)發(fā)人 員與維護(hù)人員的分離等 第二十二條當(dāng)員工工作調(diào)動(dòng)或離職時(shí) 其在系統(tǒng)中的賬號(hào)應(yīng)立即撤銷 不得 繼續(xù)將賬號(hào)分配給他人使用 第二十三條開(kāi)發(fā)人員平時(shí)不得使用生產(chǎn)系統(tǒng)中的賬號(hào) 如需使用 則必須以 書面形式提出申請(qǐng) 經(jīng)信息化部主管審批后 由系統(tǒng)管理員臨時(shí)為 其開(kāi)啟一個(gè)賬號(hào) 開(kāi)發(fā)人員在訪問(wèn)生產(chǎn)系統(tǒng)時(shí)必須由信息化部系統(tǒng) 維護(hù)人員對(duì)其訪問(wèn)進(jìn)行監(jiān)督 在訪問(wèn)結(jié)束后及時(shí)刪除賬號(hào)或更改 口令 并對(duì)操作日志進(jìn)行審閱 第二十四條對(duì)操作系統(tǒng)級(jí)和數(shù)據(jù)庫(kù)層超級(jí)用戶的賬號(hào) 比如根用戶 系統(tǒng)管理 員 安全管理員賬號(hào) 批處理用戶賬號(hào) 數(shù)據(jù)庫(kù)管理員 由信息 化部系統(tǒng)維護(hù)部經(jīng)理對(duì)正式書面審批 使用僅限于經(jīng)授權(quán)的系統(tǒng) 管理人員 信息化部系統(tǒng)維護(hù)部經(jīng)理對(duì)操作系統(tǒng)層及數(shù)據(jù)庫(kù)層超級(jí) 用戶賬號(hào)的清單每季進(jìn)行復(fù)核并簽字確認(rèn) 并對(duì)多余或不恰當(dāng)?shù)?賬號(hào)進(jìn)行調(diào)整 第二十五條對(duì)應(yīng)用系統(tǒng)層超級(jí)用戶的賬戶的建立是根據(jù)用戶工作職責(zé) 僅限 于經(jīng)授權(quán)的應(yīng)用管理人員使用 各系統(tǒng)遵循如下規(guī)定 第二十六條信息化部業(yè)務(wù)維護(hù)部經(jīng)理或各業(yè)務(wù)部門主管對(duì) BOSS 系統(tǒng)應(yīng)用管理 員 工號(hào)管理員的授權(quán)審批建立正式的書面審批表格 并且對(duì) BOSS 系統(tǒng)管理員 工號(hào)管理員的清單每季進(jìn)行復(fù)核并簽字確認(rèn) 并對(duì)多余或不恰當(dāng)?shù)馁~號(hào)進(jìn)行調(diào)整 第二十七條如果系統(tǒng)中存在第三方廠商人員使用賬號(hào)的情況 應(yīng)和第三方廠 商簽訂相關(guān)的安全保密協(xié)議 以合理確保第三方廠商能夠執(zhí)行的 安全管理要求和職責(zé)不相容要求 如果外部人員需要通過(guò)遠(yuǎn)程登錄 訪問(wèn)對(duì)系統(tǒng)進(jìn)行操作及更新 局方人員在每次操作執(zhí)行時(shí)應(yīng)根據(jù) 部門主管授權(quán) 臨時(shí)開(kāi)通遠(yuǎn)程登錄功能 局方人員對(duì)遠(yuǎn)程登錄操 作進(jìn)行監(jiān)控 或事后及時(shí)審閱相應(yīng)的操作日志記錄 在操作完 成后 局方人員應(yīng)及時(shí)終止遠(yuǎn)程登錄 第二十八條對(duì)于部分因系統(tǒng)接口原因在系統(tǒng)中預(yù)設(shè)的用戶賬號(hào) 應(yīng)對(duì)接口程 序 腳本或相關(guān)設(shè)置進(jìn)行加密或?qū)嵤┰L問(wèn)控制 以防止未經(jīng)授權(quán) 的訪問(wèn) 對(duì)內(nèi)置賬號(hào)的目錄 文件訪問(wèn)權(quán)限嚴(yán)格限制在該賬號(hào)的功 能范圍內(nèi)并定期檢查 在系統(tǒng)做定期維護(hù)時(shí)對(duì)密碼做更改 對(duì)該 類賬號(hào)的操作要保留日志并定期審閱 第二十九條各賬號(hào)和權(quán)限的操作 管理人員應(yīng)嚴(yán)格遵守我公司相關(guān)管理規(guī)定 不得以任何非法形式操作非本人權(quán)限范圍內(nèi)之事 第五章第五章 賬號(hào)的建立 變更 撤銷和審閱賬號(hào)的建立 變更 撤銷和審閱 第三十條當(dāng)需要在系統(tǒng)中創(chuàng)建新賬號(hào)或新用戶角色時(shí) 由申請(qǐng)人填寫 賬 號(hào)權(quán)限變更記錄單 提出申請(qǐng) 明確要使用賬號(hào)的人員信息 賬 號(hào)權(quán)限 或者新用戶角色的權(quán)限 經(jīng)賬號(hào)審批人員簽字審批后 由賬號(hào)管理員在系統(tǒng)中執(zhí)行賬號(hào)創(chuàng)建操作 執(zhí)行完畢后 在記錄 單上簽字后歸檔 第三十一條各系統(tǒng)普通用戶賬號(hào)管理由部門主管授權(quán)的帳號(hào)管理員負(fù)責(zé) 賬 號(hào)的權(quán)限進(jìn)行調(diào)整或增加 刪除 須由業(yè)務(wù)部門主管對(duì)權(quán)限變更記 錄單審批確認(rèn)后 由帳號(hào)管理員在系統(tǒng)中進(jìn)行設(shè)置 第三十二條當(dāng)需要在系統(tǒng)中進(jìn)行賬號(hào)權(quán)限或用戶角色權(quán)限變更時(shí) 由申請(qǐng)人填 寫 賬號(hào)權(quán)限變更記錄單 提出申請(qǐng) 明確變更內(nèi)容 經(jīng)賬號(hào)審 批人員簽字審批后 由賬號(hào)管理員在系統(tǒng)中執(zhí)行賬號(hào)變更操作 執(zhí)行完畢后 在記錄單上簽字后歸檔 第三十三條當(dāng)發(fā)生員工調(diào)動(dòng)或離職時(shí) 原所在部門須在調(diào)動(dòng)離職批準(zhǔn)后 2 日內(nèi) 由帳號(hào)管理員對(duì)該人員的帳號(hào)進(jìn)行刪除或者禁止使用管理處理 第三十四條當(dāng)系統(tǒng)管理員離職或調(diào)職時(shí) 應(yīng)對(duì)此類關(guān)鍵賬號(hào)進(jìn)行禁用處理并 保留相關(guān)賬號(hào)操作日志待查 接任的管理員經(jīng)過(guò)申請(qǐng)審批流程獲 得新的管理員賬號(hào) 如果管理員賬號(hào)無(wú)法變更或禁用 如 root 賬 號(hào) DBA 賬號(hào)等 則建立正式的賬號(hào)移交流程 由部門負(fù)責(zé)人員 對(duì)賬號(hào)移交單簽字認(rèn)可后 離職的系統(tǒng)管理員將賬號(hào)移交給接任 的系統(tǒng)管理員 接任的系統(tǒng)管理員立即更改該管理員賬號(hào)密碼 并在賬號(hào)移交單上簽字后歸檔 第三十五條當(dāng)應(yīng)用系統(tǒng)新增功能涉及到賬號(hào)權(quán)限分配時(shí) 由需求部門 BOSS 系 統(tǒng) 在正式文件中明確新增功能在系統(tǒng)中的開(kāi)放范圍 由信息化部 應(yīng)用系統(tǒng)賬號(hào)管理員在系統(tǒng)中執(zhí)行新增功能訪問(wèn)權(quán)限分配工作 第三十六條當(dāng)在某些情況下需要臨時(shí)授權(quán)時(shí) 由申請(qǐng)人填寫 賬號(hào)權(quán)限變更 記錄單 明確申請(qǐng)?jiān)?授權(quán)賬號(hào) 權(quán)限內(nèi)容和權(quán)限使用期限 等信息 經(jīng)賬號(hào)審批人員簽字審批后 由賬號(hào)管理員在系統(tǒng)中執(zhí) 行權(quán)限分配工作 當(dāng)工作結(jié)束后 應(yīng)由賬號(hào)管理員立即將臨時(shí)權(quán) 限收回 并在記錄單上記錄回收情況和簽字后歸檔保存 第三十七條當(dāng)某用戶需要超級(jí)權(quán)限時(shí) 應(yīng)在其原有的賬號(hào)之外 另行設(shè)置一 個(gè)授予了超級(jí)權(quán)限的特殊賬號(hào) 第三十八條信息化部每半年將各系統(tǒng)中的賬號(hào)清單 包括應(yīng)用層 數(shù)據(jù)庫(kù)層 和操作系統(tǒng)層的超級(jí)用戶 系統(tǒng)管理員和普通用戶在內(nèi)的所有賬號(hào) 提供給各部門 由賬號(hào)所在部門領(lǐng)導(dǎo)或授權(quán)人員進(jìn)行復(fù)核和簽字 確認(rèn) 對(duì)多余或不恰當(dāng)?shù)馁~號(hào)須依照賬號(hào)變更或撤銷流程進(jìn)行調(diào) 整 并將結(jié)果匯總至信息化部保存 第三十九條信息化部每半年或業(yè)務(wù)流程發(fā)生重大變更時(shí) 將系統(tǒng)中的賬號(hào)訪 問(wèn)權(quán)限清單提供給各部門 由賬號(hào)所在部門進(jìn)行審閱簽字 以避免 在賬號(hào)的權(quán)限中有不相容職責(zé)的存在 如發(fā)現(xiàn)不相容職責(zé)須依照 賬號(hào)和權(quán)限變更流程進(jìn)行調(diào)整 并將結(jié)果匯總至信息化部保存 第四十條對(duì)于采取用戶角色來(lái)向用戶分配訪問(wèn)權(quán)限的系統(tǒng) 信息化部應(yīng)建立 系統(tǒng)權(quán)限和用戶職責(zé) 或用戶角色 矩陣表 用來(lái)反映用戶職責(zé) 或用戶角色 與其所能進(jìn)行的操作權(quán)限的對(duì)應(yīng)關(guān)系 該矩陣表 由負(fù)責(zé)賬號(hào)權(quán)限審批的主管部門負(fù)責(zé)人定期 每三個(gè)月一次 審閱 簽字確認(rèn) 賬號(hào)管理員負(fù)責(zé)維護(hù)系統(tǒng)中的用戶權(quán)限與審閱后的矩 陣表保持一致 第六章第六章 口令管理口令管理 第四十一條賬號(hào)口令擁有者必須嚴(yán)格確?？诹畹陌踩Ｃ苄?一旦有跡象表 明口令可能被泄露 用戶必須立即修改口令 第四十二條系統(tǒng)中的賬號(hào)口令應(yīng)避免使用弱口令 口令長(zhǎng)度不得低于 6 位 須 由數(shù)字 字母組成 并至少每 90 天進(jìn)行強(qiáng)制更新 且更新時(shí)不得使 用最近 5 次以內(nèi)重復(fù)使用的口令 第四十三條賬號(hào)的初始口令應(yīng)以安全途徑告知賬號(hào)使用者 賬號(hào)使用者在首次 登錄系統(tǒng)時(shí)應(yīng)立即修改賬號(hào)口令 第四十四條若登錄系統(tǒng)時(shí)連續(xù) 5 次口令輸入錯(cuò)誤 則應(yīng)暫停該工號(hào)登錄 第四十五條超級(jí)賬號(hào)口令應(yīng)由賬號(hào)管理員負(fù)責(zé)維護(hù) 嚴(yán)禁未經(jīng)賬號(hào)審批人員 的許可使用超級(jí)賬號(hào)及口令 如發(fā)生丟失或遺忘口令的情況 超 級(jí)賬號(hào)管理員應(yīng)立即通知賬號(hào)審批人員重置密碼 第四十六條口令在系統(tǒng)中保存或傳輸時(shí) 必須采取安全措施以保證賬號(hào)的安全 性 例如對(duì)口令進(jìn)行加密等 除非可以安全保管 否則不得將口令 記錄在紙張等一切可視介質(zhì)上 第四十七條當(dāng)程序內(nèi)的賬號(hào)密碼需要保存在配置文件里時(shí) 文件屬性應(yīng)置為 不可讀 并且只能由對(duì)應(yīng)程序訪問(wèn) 程序所使用到的賬號(hào)及口令不 能用于日常運(yùn)維管理 不能供用戶使用 程序所使用到的賬號(hào)及 口令禁止擴(kuò)散 在系統(tǒng)做定期維護(hù)時(shí)對(duì)密碼做更改 第七章第七章 附附 則則 第四十八條本方針由 XXXX 有限公司制定并負(fù)責(zé)解釋和修訂 第四十九條本方針自發(fā)布之日起執(zhí)行 第一章第一章附件 附件 賬號(hào)權(quán)限創(chuàng)建賬號(hào)權(quán)限創(chuàng)建 變更變更 撤銷流程撤銷流程 賬號(hào)創(chuàng)建 變更 撤消流程 賬號(hào)審批人賬號(hào)管理員歸檔人申請(qǐng)人 開(kāi)始 提交賬 號(hào)權(quán)限 申請(qǐng) 賬號(hào)權(quán)限變 更記錄單 審批賬號(hào)權(quán)限 創(chuàng)建 變更 撤 消申請(qǐng) 執(zhí)行賬號(hào)權(quán) 限創(chuàng)建 變更 撤消操作 確認(rèn)操 作結(jié)果 記錄單上記 錄操作結(jié)果 賬號(hào)權(quán)限變 更記錄單 歸檔結(jié)束 第二章第二章附件附件 2 賬號(hào)權(quán)限變更記錄單賬號(hào)權(quán)限變更記錄單 變更類型 創(chuàng)建新賬號(hào) 賬號(hào)權(quán)限變更 撤銷賬號(hào) 創(chuàng)建新用戶角色 用戶角色權(quán)限變更 撤銷用戶角色 申請(qǐng)人所屬部門申請(qǐng)時(shí)間 賬號(hào)使用人所屬部門 賬號(hào) 用戶角色 名稱 賬號(hào) 用戶角色 職責(zé)描述 賬號(hào)類別 系統(tǒng)超級(jí)管理員 系統(tǒng)管理員 系統(tǒng)普通用戶 賬號(hào)管理員 其他 系統(tǒng)名稱系統(tǒng)類別 應(yīng)用系統(tǒng) 主機(jī) 數(shù)據(jù)庫(kù) 其他 權(quán)限有效期 長(zhǎng)期 自 年 月 日始至 年 月 日止 變更原因 變更內(nèi)容 審批意見(jiàn) 變更結(jié)果 變更執(zhí)行時(shí)間變更執(zhí) 行人 備注 第三章第三章附件