《IT信息系统用户帐户及口令管理办法》由会员分享，可在线阅读，更多相关《IT信息系统用户帐户及口令管理办法（7页珍藏版）》请在装配图网上搜索。
1、IT信息系统用户及口令管理方法第一章 总 那么第一条 目的：为躲避风险，杜绝平安隐患，进一步标准公司生产系统、测试环境和开发环境的用户及口令管理，特订定本方法。第二条 依据：本管理方法根据?公司信息平安管理策略?制订。第三条 范围：本管理方法适用于公司。第四条 定义 一生产业务系统：指公司从事金融效劳的应用网络系统。二管理信息系统：指公司从事日常办公及信息管理的计算机网络系统，具体包括办公自动化系统、信贷管理、人力资源管理、风险管理平台等用来进行内部管理的应用软件系统。三生产系统：包括生产业务系统和管理信息系统。四开发环境：指公司所有进行开发的系统环境。五测试环境：指公司所有进行测试的系统环境
2、。六系统管理员：公司科技信息部各系统硬件及软件的系统管理人员。七数据库管理员：公司科技信息部各系统的数据库管理人员。八应用系统管理员：公司科技信息部各系统的应用维护人员。九测试人员：公司各测试系统的测试人员。十开发人员：公司各应用系统的开发人员。第五条 遵循原那么一预防性原那么：遵循以预防为主、防患于未然的原那么，预防案件、事故的发生。二可审计性原那么：口令的过程必须保存痕迹，可被审计或追溯。三有限授权原那么：对任何人都不能授予过度的、不受监督和制约的权限。四别离制约原那么：每一次使用生产系统口令，都必须有两人同时参与，由双人分段管理口令。五职责不相容原那么：对不相容职责进行岗位别离。六监督制
3、约原那么：针对口令的使用及记录，建立相应的监督检查机制。第二章 用户管理要求第六条 对于每个系统，应根据职责不相容原那么，建立权责别离的业务矩阵表，定义系统不同用户组及其访问权限，包括终端用户、系统开发人员、系统管理员、应用系统管理员等用户组。生产系统用户按照“知所必需的存取控制原那么，填写?用户权限申请表?，相关部门负责人审批通过后由系统管理人员操作。第七条 用户账号必须由运行维护中心负责人和系统管理员进行检查，确保用户不会被赋予互相冲突的权限。以下职责互相不相容，且应由不同人员担任：一系统开发二测试三系统运行维护管理四系统平安检查第八条 对于每个生产系统，系统管理员、数据库管理员及应用系统
4、管理员的授权必须由IT管理层审批，活动日志必须由信息定期审阅。应用系统管理员根据业务部门要求，维护用户权限并定期生成系统用户权限清单，交相应业务部门负责人审批确认，对于发现的不恰当权限及时修正。系统管理员维护操作系统的用户权限并定期生成用户权限清单，交部门负责人审批确定，对于发现的不恰当权限及时修正。第九条 禁止开发人员在正常情况下进入生产系统。只有在得到管理层批准执行紧急修复任务时，开发人员才能在运行维护中心的监控下临时进入生产系统，所有的紧急修复活动都应立即进行记录和审核。第三章 口令管理要求第十条 按照信息系统对公司业务的敏感程度、重要程度，以及系统的授权访问用户的范围建议对信息系统进行
5、分级归类，不同级别采取不同的账号、口令管理方式。第十一条 建议将公司信息系统在口令管理方式上分为三个级别：一A级系统，包括核心业务区域、前置区的主机系统。口令管理方式建议采用口令信封双人分段或单人控制的方式。二B级系统，包括各种外围业务系统如网上银行、 银行、外网网站、OA系统等，口令管理方式建议采用集中账号口令管理方式，并且采用双因素身份认证方式。三C级系统，包括各部门内部使用的应用系统、开发系统或测试系统，口令管理方式建议各部门内各系统管理员通过系统内置的账号、口令管理机制进行管理。 第十二条 生产系统口令分为超级用户口令、数据库用户口令、中间件用户口令、应用用户口令、查询用户口令。除查询
6、用户口令外，其他口令的口令长度至少为8个不含空格的字符，口令通常应由不代表任何含义的字母、数字和字符混合组成，口令不能和用户的姓名、生日、 号码、车牌照、公司名称、日期、用户账号等信息相关联。生产系统超级用户口令、数据库用户口令、中间件用户口令必须定期每90天强制性更改一次，应用用户口令每个月更改一次，假设口令逾期而未更改，那么该用户将被锁定，口令不能和前6次的口令相同，口令错误输入的次数应不得超过3次，否那么用户账号将被锁定。第十三条 生产系统超级用户口令原那么上由系统管理员使用和管理；数据库用户口令由数据库管理员使用和管理；中间件用户口令、应用用户口令及查询用户口令由应用系统管理员使用和管
7、理。第十四条 每个生产系统建立两个同权限的超级用户，一个超级用户作为备份，特殊情况下使用，另一个作为日常维护使用。备用超级用户的口令信封由总部科技信息部综合科保管。第十五条 生产系统口令查询用户口令除外进行分段双人管理，由使用管理人员及中心机房值班人员共同管理，进行密封，登记造册，列为机密。口令信封由中心机房值班人员管理，值班人员对口令信封的平安负责。第十六条 业务人员不得向他人泄露自己的计算机口令或使用他人口令进入计算机系统。在进行业务操作和查询时，对所获得的客户和公司资料承当保密责任。第四章 流程控制要求第十七条 使用生产系统口令必须填写?生产系统口令使用申请表?，登记内容包括口令使用种类
8、、起止时间、使用原因、口令使用人签名等，经所属科室负责人、部门负责人签字同意后，方可使用生产系统口令。第十八条 口令信封开启时，使用人员和中心机房值班人员必须双人在场，同时对口令信封封口处的签字进行检查。第十九条 每次生产系统口令使用完毕后，使用人员和中心机房值班人员必须立即对口令进行更改；更改后，使用人员将口令进行密封并在封口处签字，交中心机房值班人员管理，同时办理变更登记手续，以备急需。假设不按规定办理，视为该口令仍在使用过程中，出现任何责任事故，由口令使用人负责。第二十条 在非上班时间或上班时间签字人员不齐出差的情况下，假设需紧急使用口令，由口令使用人向部门负责人汇报，进行口头确认，经批示同意后，可使用口令，手续后补。第二十一条 口令信封保管人员调离工作岗位时，必须对生产系统口令进行及时更换。第二十二条 当发生人员岗位变动或离职，IT部门根据相关部门书面通知进行相应的系统权限及口令调整或回收。第五章 检查监督第二十三条 总部科技信息部平安管理员负责检查监督生产系统的口令管理，每月进行1次检查。第六章 附 那么第二十四条 本管理方法由科技信息部负责解释和修订。第二十五条 本管理方法自发布之日起施行。
IT信息系统用户帐户及口令管理办法
