帐号、口令及权限管理规定.docx

帐号、口令及权限管理规定第一章总则第一条为规范用户账号和口令管理，建立健全账号和口令安全防范和安全保障机制，确保信息系统的安全有效运行，制订本规定。第二条本管理规范适用于单位机房硬件平台、应用系统的账号的建立、以及权限的审批、账号和权限的评审、权限撤销和账号移除等。第二章定义第三条用户账号是计算机信息系统通过一定的身份验证机制识别各类操作人员在系统中身份的一种标识。第四条特权账号是指对系统/网络/数据库等拥有超级权限的人员账号，包含但不限于系统管理员、网络管理员、数据库服务器管理员及数据库管理员等。第五条权限是指系统对用户能够执行的功能操作所设立的额外限制，用于进一步约束用户能操作的系统功能和内容访问范围，是指某个特定的用户具有特定的系统资源使用的权力。第三章账号权限申请第六条所有用户账号的开通应通过正式的账号申请审批过程，账号使用者提出并填写办公网数字身份证书申请表，根据访问控制安全管理规范中的访问控制方针进行审批。第七条在对系统账号进行申请的过程中，应做到系统账号与责任人一一对应，确保每个账号都有人负责。第八条系统运行维护管理人员在开通账号前，应依据办公网数字身份证书申请表内容检查申请人是否在该系统中拥有其它账号，若没有，方可为用户创建账号并分配相应的权限。原则上每个用户只能拥有唯一的账号，不得重复申请账号。第九条系统运行维护管理员应当保存用户账号分配申请记录。第四章账号使用规则第十条用户在获得账号后，应当立即修改账号默认口令。第十一条用户账号口令的选择和使用应当与口令保护策略相符合。第十二条用户账号是用户的唯一标识，只能由本人使用，不得交由他人使用。第十三条不得多人共用一个账号（特殊系统账号除外）。第十四条服务器本地管理员账号由系统管理员保管，禁用匿名账号（GUeSt账号）。第五章账号权限变更第十五条在应用系统账号使用过程中，如果账号权限发生变化，应进行重新申请并填写办公网数字身份证书撤销/停用、恢复、更新申请表。如需要增加系统权限，在申请的过程中，应对增加权限的原因进行详细描述。第十六条在进行系统权限的变更时，系统管理人员应依据办公网数字身份证书撤销/停用、恢复、更新申请表内容检查申请人是否存有不再需要的其它账号或权限，如果存有不需要的账号或权限，应及时进行撤销。第十七条在系统账号权限变更授权过程中，权限变更内容以及变更原因应进行详细记录，以备以后查看。第六章账号权限消除第十八条当账号使用人员由于离职、调职等原因不需要使用原有的账号或者权限时，应对其系统账号或权限进行消除。第十九条系统管理人员应定期进行系统账号权限的复查（每半年一次），检查是否存在应该被消除而没有消除的系统账号或权限，并负责对应消除的账号或权限进行消除。第七章口令保护策略第二十条密码必须由数字、字符和特殊字符组成第二十一条普通涉密设备设置的密码长度不能少于8个字符，密码更换周期不得多于60天；第二十二条重要涉密设备设置的密码长度不得少于10个字符，密码更换周期不得超过30天；第二十三条涉密计算机需要分别设置BIOS、开机、操作系统登录三个密码。第二十四条涉密设备设置的用户密码（开机、操作系统）由使用人自行保存，BIOS密码由信息单位保密员统一设置保管，严禁将自用密码转告他人；若工作需要必须转告，应请示本部门负责人认可。第二十五条所有账号不得使用系统默认口令，不得使用账号创建时的初始口令，用户首次使用账号时，应当立即更改默认口令。第二十六条用户不能将口令包含在任何自动登录程序上，不得将写有口令的纸条贴在显示器或者座位上。第二十七条用户要保护口令的保密性，不得多人共用口令；不允许在计算机系统上以无保护的形式存储口令。第二十八条系统管理员应对特权账号的口令进行适当的保护，如为方便记忆将口令存储于电子文件中，应对文件进行加密操作，如以纸质形式存在，则需要密封。第二十九条用户只要发现任何表明口令或系统遭到滥用的迹象，应立即更改口令。第八章附则第三十条本办法由技术部负责解释。第三十一条本办法自发布之日起执行