ISO27001：2013用戶訪問管理程序

1、XXXXXXXXX 有限責(zé)任公司用戶訪問管理程序XXXX-B-15V1.0發(fā)布日期2015年02月01日發(fā)布部門信息安全小組實(shí)施日期2015年02月01日用戶訪問管理程序變更履歷版本變更履歷變更人/變更日期審核人/審核日期批準(zhǔn)人/批準(zhǔn)日期1.0初次發(fā)布用戶訪問管理程序）實(shí)施有效控制,1目的為對(duì)本組織各種應(yīng)用系統(tǒng)的用戶訪問權(quán)限（包括特權(quán)用戶及相關(guān)方用戶杜絕非法訪問，確保系統(tǒng)和信息的安全，特制定本程序。2范圍本程序適用于本組織的各種應(yīng)用系統(tǒng)涉及到的邏輯訪問的管理。3職責(zé)綜合部負(fù)責(zé)訪問權(quán)限的申請(qǐng)、審批。負(fù)責(zé)向各部門通知人事變動(dòng)情況。負(fù)責(zé)外來人員物理訪問控制。技術(shù)部負(fù)責(zé)訪問控制的技術(shù)管理以及訪問權(quán)限控

2、制和實(shí)施。4相關(guān)文件信息安全管理手冊(cè)口令策略5程序訪問控制策略組織內(nèi)的信息根據(jù)敏感等級(jí)，分別向不同職位的員工公開。a）組織的宣傳文件、制度、培訓(xùn)材料、參考文獻(xiàn)可向全體員工公開;b）人事信息只向綜合部公開；c） 財(cái)務(wù)信息只向財(cái)務(wù)部公開；d）業(yè)務(wù)信息只在相關(guān)業(yè)務(wù)人員間公開。技術(shù)部IT專職人員根據(jù)不同類別的信息，設(shè)置其訪問權(quán)限。用戶訪問管理程序用戶不得訪問或嘗試訪問未經(jīng)授權(quán)的網(wǎng)絡(luò)、系統(tǒng)、文件和服務(wù)。各系統(tǒng)綜合部應(yīng)編制系統(tǒng)用戶訪問權(quán)限說明書，明確規(guī)定訪問規(guī)則。5.2用戶訪問管理權(quán)限申請(qǐng)所有用戶，包括相關(guān)方人員均需要履行訪問授權(quán)手續(xù)。申請(qǐng)部門根據(jù)業(yè)務(wù)、 管理工作的需要，確定需要訪問的系統(tǒng)和訪問權(quán)限，經(jīng)過

3、本部門經(jīng)理同意后，向技術(shù)部提交用戶訪問授權(quán)申請(qǐng)表，技術(shù)部在用戶訪問授權(quán)登記表上登記。用戶訪問授權(quán)申請(qǐng)表應(yīng)對(duì)以下內(nèi)容予以明確：a）權(quán)限申請(qǐng)人員；b）訪問權(quán)限的級(jí)別和范圍；申請(qǐng)理由；d）有效期。經(jīng)綜合部審核批準(zhǔn)后，將用戶訪問授權(quán)申請(qǐng)表交技術(shù)部，技術(shù)部實(shí)施授權(quán)。相關(guān)方和第三方服務(wù)人員的訪問申請(qǐng)由負(fù)責(zé)接待的部門按照上述要求予以辦理。但相關(guān)方和第三方服務(wù)人員一般不允許成為特權(quán)用戶。必要時(shí)，相關(guān)方人員需與訪問接待部門簽訂相關(guān)方保密協(xié)議或第三方服務(wù)保密協(xié)議。5.2.2權(quán)限變更對(duì)發(fā)生以下情況對(duì)其訪問權(quán)應(yīng)從系統(tǒng)中予以注銷：a）內(nèi)部用戶雇傭合同終止時(shí)；b）內(nèi)部用戶因崗位調(diào)整不再需要此項(xiàng)訪問服務(wù)時(shí)；c）相關(guān)方訪問合同終止時(shí)；其它情況必須注銷時(shí)。由于用戶變換崗位等原因造成訪問權(quán)限變更時(shí)，用戶應(yīng)重新填寫用戶訪問授權(quán)申請(qǐng) 表，按照本程序5.2.1的要求履行授權(quán)手續(xù)。行政部部應(yīng)將人事變動(dòng)情況及時(shí)通知各部門， 技術(shù)部管理員進(jìn)行權(quán)限設(shè)置更改。特權(quán)用戶因故暫時(shí)不能履行特權(quán)職責(zé)時(shí)，根據(jù)需要可以經(jīng)授權(quán)部門經(jīng)理批準(zhǔn)后，將特權(quán)臨時(shí)轉(zhuǎn)交可靠人員；特權(quán)用戶返回工作崗位時(shí)，收回臨時(shí)特權(quán)人員的特權(quán)。5.2.3用戶訪問權(quán)的維護(hù)和評(píng)審對(duì)于任何權(quán)限的改變（包括權(quán)限的創(chuàng)建、變更以及注銷），訪問技術(shù)部應(yīng)進(jìn)行記錄，填寫用戶訪問授權(quán)申請(qǐng)表包括：a）權(quán)限開放/變更/注銷時(shí)間；b）變化后權(quán)限內(nèi)容；c） 開放權(quán)限的管理員。綜合部每半年應(yīng)對(duì)訪問權(quán)限進(jìn)行