大型企業(yè)集團(tuán)公司通行字（密碼）安全管理辦法

通行字（密碼）安全管理辦法第一章總則第一條為進(jìn)一步規(guī)范通行字的管理，提升管理范圍內(nèi)的、平臺(tái)和系統(tǒng)（以下統(tǒng)稱信息系統(tǒng)）的安全性，公司（以下簡(jiǎn)稱“集團(tuán)公司”）根據(jù)《中華人民共和國(guó)安全法》等國(guó)家相關(guān)法律法規(guī)和《安全防護(hù)管理辦法》，制定本辦法。第二條本辦法所稱通行字，包括以下兩種情形：（一） 自然人登錄管理范圍內(nèi)的信息系統(tǒng)時(shí)所必需的用于鑒別登錄者身份和權(quán)限信息的賬號(hào)和口令。（二） 信息系統(tǒng)軟件之間互相調(diào)用數(shù)據(jù)所需的賬號(hào)和口令。第三條本辦法適用于集團(tuán)公司及所屬單位（以下簡(jiǎn)稱各單位）管理和操作信息系統(tǒng)通行字的工作。第四條集團(tuán)公司所屬單位各專業(yè)應(yīng)按照本辦法，結(jié)合本專業(yè)領(lǐng)域、本單位特點(diǎn)制定通行字管理實(shí)施細(xì)則。第二章組織與職責(zé)第五條與信息安全管理部門負(fù)責(zé)制定通行字安全相關(guān)規(guī)范和制度（包括通行字稽核要求），統(tǒng)籌組織通行字安全管理的評(píng)估考核，開展通行字管理工作的督查。第六條集團(tuán)公司各部門應(yīng)依據(jù)有關(guān)法律法規(guī)的規(guī)定負(fù)責(zé)本部門內(nèi)的通行字安全使用等管理工作，指導(dǎo)和督促各單位落實(shí)本管理?xiàng)l線對(duì)通行字安全的特殊要求，制定并推動(dòng)系統(tǒng)建設(shè)單位在系統(tǒng)中落實(shí)具體要求，包括但不限于：明確本專業(yè)領(lǐng)域的通行字維護(hù)和使用的具體要求，明確專業(yè)領(lǐng)域涉及的通行字類別、分配的原則和權(quán)限設(shè)置要求，如通行字使用地域（本地網(wǎng)、全國(guó)或全球）、時(shí)間（工作日、工作時(shí)段、全時(shí)段、有效期）、通行字權(quán)限（查看、更改、刪除數(shù)據(jù)、批量導(dǎo)出數(shù)據(jù)等）等。第七條各單位負(fù)責(zé)創(chuàng)建和分配通行字的部門和各信息系統(tǒng)維護(hù)部門是通行字維護(hù)部門，負(fù)責(zé)所管理維護(hù)的信息系統(tǒng)通行字創(chuàng)建、授權(quán)、權(quán)限變更及通行字撤銷的全生命周期管理并同步制定相關(guān)流程；負(fù)責(zé)各系統(tǒng)通行字臺(tái)賬的建立和維護(hù)；負(fù)責(zé)明確各系統(tǒng)的通行字具體管理人員和制作人員；負(fù)責(zé)根據(jù)本辦法和集團(tuán)公司各部門要求落實(shí)通行字安全管理的具體工作；負(fù)責(zé)通行字的安全自查整改；負(fù)責(zé)所運(yùn)營(yíng)信息系統(tǒng)接入4A系統(tǒng)進(jìn)行通行字集中管理，落實(shí)密碼復(fù)雜度、雙因素認(rèn)證、防爆破等相關(guān)要求，執(zhí)行日常通行字管理作業(yè)計(jì)劃。第八條通行字使用人、使用信息系統(tǒng)所在的單位是通行字使用部門，通行字使用人有責(zé)任保護(hù)其持有的通行字，遵照本辦法正確、安全的使用。使用人知曉其持有通行字的口令，不得將本人的通行字及口令以任何方式泄露給其他人，使用人持有的通行字被他人非授權(quán)使用產(chǎn)生的直接責(zé)任由使用人承擔(dān)。使用部門應(yīng)在通行字使用人權(quán)限發(fā)生變更或需要撤銷時(shí)適當(dāng)提前主動(dòng)發(fā)起申請(qǐng)。第九條因使用人違規(guī)帶來?yè)p失的，應(yīng)依法依規(guī)追究責(zé)任。員工由使用人本人承擔(dān)相關(guān)責(zé)任，其所屬管理部門承擔(dān)管理責(zé)任。與有業(yè)務(wù)合作或向提供服務(wù)的單位的非員工由其工作單位按照與簽訂的合同附件《與信息安全承諾書》和保密合同中相關(guān)約定承擔(dān)責(zé)任，其在的對(duì)口管理部門承擔(dān)相應(yīng)管理責(zé)任。在檢查和審計(jì)過程中首次發(fā)現(xiàn)使用人違規(guī)，尚未造成損失的，應(yīng)立即停止通行字使用，由使用人本人向信息系統(tǒng)運(yùn)營(yíng)單位出具使用人主管部門領(lǐng)導(dǎo)簽字的書面整改報(bào)告后恢復(fù)使用。第二次發(fā)現(xiàn)同一人違規(guī)的，應(yīng)按各單位制定的本辦法實(shí)施細(xì)則對(duì)使用人進(jìn)行處理。第三章通行字管理原則第十條通行字管理原則包括通行字“職責(zé)分離”、“最小授權(quán)”、“特殊控制"三個(gè)部分，具體要求如下：第十一條“職責(zé)分離''原則（一） 通行字采用實(shí)名制管理，要求通行字實(shí)名到人，避免通行字多人使用。非員工的通行字必須關(guān)聯(lián)身份證號(hào)碼。涉及公民用戶個(gè)人信息等敏感信息的系統(tǒng)，其通行字管理單位有更嚴(yán)格要求的依照相關(guān)要求執(zhí)行；（二） 4A系統(tǒng)或功能相似的通行字集中管理系統(tǒng)與納管信息系統(tǒng)的管理通行字不得同一人持有，特殊情況下如多個(gè)相關(guān)信息系統(tǒng)通行字需由同一人持有，應(yīng)由通行字維護(hù)部門領(lǐng)導(dǎo)進(jìn)行審批，并留存記錄；（三） 記錄通行字使用人訪問時(shí)間、訪問行為，并留存至少6個(gè)月的記錄以供追溯；（四） 重要信息系統(tǒng)的高權(quán)限通行字，每類不相容權(quán)限原則上須僅由一人持有，應(yīng)嚴(yán)格按規(guī)定妥善保管通行字實(shí)體及其備份。第十二條“最小授權(quán)”原則（一） 通行字的訪問權(quán)限應(yīng)僅授予滿足其工作需要的最小權(quán)限；（二） 應(yīng)限制通行字使用人使用通行字的時(shí)間、地點(diǎn)。（三） 互聯(lián)網(wǎng)遠(yuǎn)程連接的通行字應(yīng)限制訪問對(duì)象和時(shí)間（不包括提供登錄面向公眾服務(wù)的信息系統(tǒng)）。第十三條“特殊控制”原則（一） 用于綁定4A系統(tǒng)或掃描設(shè)備的自帶特殊權(quán)限的通行字、軟件開發(fā)中用于綁定業(yè)務(wù)應(yīng)用不設(shè)置有效期的特殊權(quán)限通行字，須經(jīng)信息系統(tǒng)負(fù)責(zé)人專門審批并嚴(yán)格控制知悉范圍、設(shè)置16位及以上符合本辦法規(guī)定的口令并妥善保存實(shí)體；（二） 因業(yè)務(wù)原因需重新填寫或配置前述系統(tǒng)自帶特殊權(quán)限通行字時(shí)，要經(jīng)過通行字維護(hù)部門審批，操作時(shí)須有雙人在場(chǎng)；（三） 因客觀原因必須多人共用的通行字，經(jīng)通行字管理部門和維護(hù)部門領(lǐng)導(dǎo)審核后由該通行字管理員負(fù)責(zé)日常管理，且通行字管理員須識(shí)別并記錄每個(gè)該通行字授權(quán)使用的個(gè)人，不得與非授權(quán)人員分享共用通行字。第四章通行字全生命周期管理第十四條通行字安全管理包括申請(qǐng)、注冊(cè)、使用、變更、注銷等環(huán)節(jié)的全生命周期管理，各環(huán)節(jié)要求為：（一） 通行字申請(qǐng)/注冊(cè)流程由通行字申請(qǐng)人發(fā)起，申請(qǐng)人所在部門（通行字使用部門）負(fù)責(zé)人、申請(qǐng)?jiān)L問權(quán)限的各通行字維護(hù)部門負(fù)責(zé)人、通行字管理員審核，通行字制作員按照審核結(jié)果制作和分配。（二） 按照“誰使用誰負(fù)責(zé)”的原則，通行字使用人是通行字安全的第一責(zé)任人，通行字使用過程須由通行字管理員督促并通過系統(tǒng)監(jiān)督通行字使用人遵照本辦法執(zhí)行。（三） 通行字變更/注銷（如通行字使用人因職責(zé)發(fā)生變化而導(dǎo)致相應(yīng)通行字權(quán)限發(fā)生變化）應(yīng)由通行字申請(qǐng)人、使用人或使用人所在部門主動(dòng)發(fā)起變更或注銷需求，通行字管理員或制作員負(fù)責(zé)實(shí)施。第十五條執(zhí)行通行字的申請(qǐng)、注冊(cè)、使用、變更、注銷等具體流程參照《關(guān)于印發(fā)通行字安全操作規(guī)范的通知》。第十六條有關(guān)資產(chǎn)通行字的制作與驗(yàn)證參照《關(guān)于印發(fā)操作系統(tǒng)等安全配置要求的通知》和《關(guān)于印發(fā)設(shè)等安全配置要求及規(guī)范修訂表的通知》。第十七條定級(jí)為二級(jí)及以上信息系統(tǒng)登錄時(shí)，通行字認(rèn)證應(yīng)滿足以下要求：（一） 系統(tǒng)必須采用強(qiáng)認(rèn)證方式，如選擇硬件數(shù)字證書認(rèn)證、生物特征認(rèn)證、令牌認(rèn)證、短信認(rèn)證等方式。（二） 系統(tǒng)必須具備連續(xù)輸入錯(cuò)誤口令后將通行字鎖定一段時(shí)間的機(jī)制。（三） 認(rèn)證通過后持續(xù)10分鐘不進(jìn)行任何操作，必須重新認(rèn)證，監(jiān)控和營(yíng)業(yè)廳前臺(tái)等特殊需求可另外設(shè)置。因通行字使用人離開而未將通行字登出造成未授權(quán)訪問的后果由通行字使用人和通行字使用部門共同承擔(dān)。第十八條通行字應(yīng)滿足以下要求：（一） 通行字賬號(hào)和口令嚴(yán)禁使用出廠默認(rèn)的、易被猜測(cè)的字符串，如admin,root,huawei,cisco,123456,111111等。（二） 通行字口令長(zhǎng)度應(yīng)至少8位，系統(tǒng)最高權(quán)限通行字口令長(zhǎng)度應(yīng)至少12位。（三） 通行字口令應(yīng)包括數(shù)字、小寫字母、大寫字母、特殊符號(hào)4類中至少3類。（四） 通行字口令應(yīng)與用戶名無相關(guān)性，口令不得包含賬號(hào)的完整字符串、大小寫變位或形似變換的字符串。（五） 口令設(shè)置應(yīng)避免鍵盤排序密碼。第十九條通行字維護(hù)部門應(yīng)對(duì)維護(hù)入口進(jìn)行安全設(shè)置，禁止使用人設(shè)置和使用不符合本辦法第十八條規(guī)定的通行字，對(duì)于面向公眾用戶的系統(tǒng)，由通行字管理部門負(fù)責(zé)制定相應(yīng)的管理細(xì)則，并對(duì)因口令導(dǎo)致的安全事件負(fù)責(zé)。第二十條除root/admin等系統(tǒng)自帶通行字之外，通行字使用人不得共用通行字。使用root/admin等系統(tǒng)自帶通行字時(shí)應(yīng)符合本辦法第十一條規(guī)定。第二十一條通行字使用人只能進(jìn)行授權(quán)的業(yè)務(wù)操作，不得利用取得的權(quán)限，非法竊取、泄露的內(nèi)部信息，不得進(jìn)行危害信息系統(tǒng)安全穩(wěn)定運(yùn)行的操作，非員工申請(qǐng)通行字的，必須與所在單位簽署保密協(xié)議或保密承諾函，且其所在單位必須與簽署保密合同或保密承諾函，并由其所在單位正式提出申請(qǐng)。第二十二條通行字使用人在離開操作終端前應(yīng)退出通行字使用界面以確保安全，非員工通行字使用全程需進(jìn)行記錄并定期由不相容崗位（安全管理員或主管）對(duì)其操作日志進(jìn)行審閱。第二十三條信息系統(tǒng)運(yùn)營(yíng)單位應(yīng)按申請(qǐng)人類別不同對(duì)其通行字設(shè)置不同的有效期，非員工通行字有效期最長(zhǎng)應(yīng)不超過一年。第二十四條臨時(shí)性工作/操作分配的臨時(shí)性通行字有效期原則上以該臨時(shí)性工作/操作時(shí)長(zhǎng)為準(zhǔn)。第二十五條通行字的有效期結(jié)束后，應(yīng)自動(dòng)設(shè)置為通行字過期狀態(tài)，通過通行字集中管理系統(tǒng)直接登錄的信息系統(tǒng)通行字可不自動(dòng)設(shè)置為過期狀態(tài)，由通行字管理員配合通行字制作員以人工方式定期修改。第二十六條通行字使用人應(yīng)定期更換本人通行字口令，更換間隔不超過三個(gè)月，且三次內(nèi)不得循環(huán)使用，并保存更新記錄。第二十七條對(duì)于因技術(shù)原因暫時(shí)不能實(shí)現(xiàn)系統(tǒng)強(qiáng)制執(zhí)行本辦法第十八條規(guī)定的信息系統(tǒng)，使用人有責(zé)任遵照本辦法確保修改后的通行字口令符合規(guī)定。第二十八條通行字使用人持有的通行字口令發(fā)生泄漏時(shí),應(yīng)第一時(shí)間上報(bào)至通行字管理員并進(jìn)行應(yīng)急處理。第二十九條通行字使用人如擁有實(shí)體令牌，應(yīng)妥善使用及保管。遺失令牌應(yīng)書面說明丟失的具體時(shí)間、地點(diǎn)、經(jīng)過，并報(bào)所在部門。第三十條連續(xù)三個(gè)月未登錄的通行字自動(dòng)凍結(jié)，再次啟用須按流程重新提交申請(qǐng)審批，通行字過期達(dá)一個(gè)月但仍未辦理延期申請(qǐng)的，通行字制作員應(yīng)將其標(biāo)記為注銷。第三十一條員工離職時(shí)，各相關(guān)部門應(yīng)將注銷其通行字作為離職手續(xù)中的優(yōu)先操作事項(xiàng)。第三十二條員工因工作變動(dòng)不再?gòu)氖孪嚓P(guān)維護(hù)工作時(shí)，應(yīng)主動(dòng)辦理通行字注銷或變更手續(xù)。員工已離崗但未辦理相關(guān)手續(xù)的，其原部門直屬領(lǐng)導(dǎo)承擔(dān)相應(yīng)管理責(zé)任。各單位應(yīng)推進(jìn)將通行字的管理與人力資源信息結(jié)合，以保證員工流動(dòng)時(shí)通行字能夠及時(shí)變更。第三十三條非員工不再?gòu)氖孪嚓P(guān)工作時(shí)，應(yīng)主動(dòng)辦理通行字注銷或變更手續(xù)。非員工已離崗但未辦理相關(guān)手續(xù)的，其原所在單位承擔(dān)責(zé)任，其在的對(duì)口管理部門承擔(dān)相應(yīng)管理責(zé)任。第三十四條在確認(rèn)需要對(duì)相應(yīng)通行字實(shí)施注銷后，通行字制作員應(yīng)立即完成注銷操作。第三十五條信息系統(tǒng)的通行字口令在本地的存儲(chǔ)必須用可靠的算法加密保存，如：使用非對(duì)稱加密、單向哈希算法等。第三十六條存儲(chǔ)通行字的文件必須設(shè)置高級(jí)別的訪問及修改權(quán)限，對(duì)通行字存儲(chǔ)文件的訪問和修改應(yīng)進(jìn)行嚴(yán)格稽核。第三十七條信息系統(tǒng)的通行字在上傳輸必須通過加密通道，如：HTTPS、SSH等。第五章通行字定期稽核第三十八條通行字管理員或系統(tǒng)管理員應(yīng)定期牽頭組織對(duì)信息系統(tǒng)上的通行字進(jìn)行審查，具體工作包括：（-）將已過期的通行字凍結(jié)并標(biāo)記為注銷；（二） 審核通行字口令的修改執(zhí)行情況，避免口令過期、不符合復(fù)雜度要求等問題；（三） 對(duì)信息系統(tǒng)進(jìn)行角色設(shè)置不相容檢查；（四） 定期審查通行字申請(qǐng)審批、權(quán)限變更、延期、注銷等行為，發(fā)布或通報(bào)審查結(jié)果；（五） 對(duì)通行字登錄IP所屬地域、登錄時(shí)間進(jìn)行檢查，核實(shí)異常IP或時(shí)間的登錄操作。以上所列工作執(zhí)行頻率應(yīng)不低于每季度一次，對(duì)不符合要求的，管理員應(yīng)督促相關(guān)人員及時(shí)整改。第三十九條相關(guān)人員應(yīng)配合通行字審查工作，按審查要求提供相關(guān)信息，對(duì)不合規(guī)行為按要求進(jìn)行整改。第四十條與通行字審查相關(guān)的日志和記錄的保存時(shí)間應(yīng)滿足相關(guān)規(guī)定要求，通行字的使用記錄應(yīng)至少保存1年以上。第四十一條所有審查