信息系統(tǒng)訪問控制管理規(guī)定

XXXXXX信息系統(tǒng)訪問控制管理規(guī)定總則為加強科技發(fā)展部信息系統(tǒng)的訪問管理，規(guī)范用戶管理、密碼管理及訪問控制管理行為，特制定本規(guī)定。本規(guī)定適用于科技發(fā)展部負責運行維護的信息系統(tǒng)及其管理活動。組織和職責科技發(fā)展部風險管理組負責監(jiān)督各部門在信息系統(tǒng)訪問管理方面的工作。各部門安全組負責監(jiān)督和檢查本部門在信息系統(tǒng)訪問管理方面的工作。各部門負責信息系統(tǒng)訪問的日常管理，部門負責人負責本部門職責范圍內(nèi)的用戶權(quán)限申請、變更、回收的審核工作，定期組織對本部門訪問管理的自查。全體員工必須遵守本規(guī)定的要求，按需申請信息系統(tǒng)的訪問權(quán)限，嚴格管理分配給本人的用戶并定期修改密碼，不越權(quán)訪問未被授權(quán)訪問的內(nèi)容。基本原則信息系統(tǒng)訪問管理遵循如下基本原則：隔離運行：對于不同重要程度的信息系統(tǒng)，應采取特定的隔離措施，確保各類系統(tǒng)獨立運行；權(quán)限最?。河脩糁粦哂型瓿晒ぷ魉璧脑L問權(quán)限；用戶唯一：信息系統(tǒng)中的用戶應該具有唯一性；按需授權(quán)：權(quán)限審批時應根據(jù)用戶實際需要審批授權(quán)；職責分離：用戶訪問的請求、授權(quán)、管理應實現(xiàn)職責分離；默認拒絕：未經(jīng)明確授權(quán)，一律視為禁止。用戶管理用戶對信息系統(tǒng)的訪問和權(quán)限變更需要提出申請，用戶所在部門的負責人對申請進行初審，信息系統(tǒng)的主管部門負責人進行復審，信息系統(tǒng)的用戶管理員負責處理得到審批后的請求。用戶管理員對本系統(tǒng)其他用戶的權(quán)限進行管理和維護，不得私自增加、修改、撤銷其他用戶權(quán)限和密碼。用戶管理員負責密碼信封(含電子密碼信封)的制作，負責建立信息系統(tǒng)的用戶權(quán)限清單和特權(quán)用戶清單，綜合組統(tǒng)一保管和備案。普通用戶在授權(quán)范圍內(nèi)完成自己的工作，不得擅自將用戶名和密碼轉(zhuǎn)授他人使用，工作完成后應立即退出系統(tǒng)。信息系統(tǒng)的主管部門應定期向使用部門提供相關(guān)用戶權(quán)限清單，使用部門負責人應根據(jù)該清單核實用戶權(quán)限分配情況并反饋給信息系統(tǒng)的主管部門。信息系統(tǒng)的主管部門應定期對特權(quán)用戶進行審查，確保特權(quán)用戶的使用受到監(jiān)督。用戶離崗時，必須辦理離崗手續(xù)，申請回收或變更已經(jīng)被授予的權(quán)限，用戶管理員必須及時對權(quán)限進行變更或撤消。密碼管理用戶必須設置密碼，所有崗位人員只能掌握本人工作所需的密碼，不得窺探其他用戶的密碼。信息系統(tǒng)用戶的密碼長度應滿足相應系統(tǒng)的安全要求，密碼長度不得短于6位，密碼的設置需科學、嚴密、合理，須混合使用字母、數(shù)字或特殊符號，不得使用缺省密碼。密碼的存儲應得到必要的保護。紙質(zhì)形式存儲的密碼應放到保險箱內(nèi)，其使用應得到授權(quán)，并對使用情況進行記錄；電子形式存儲的密碼，不得以明文方式存放，應采取加密等控制措施。生產(chǎn)環(huán)境中的信息系統(tǒng)，其默認的密碼必須被修改。用戶在得到自己的初始密碼后，必須立即更改初始密碼；重要崗位人員變動交接時或發(fā)現(xiàn)密碼泄漏時，必須立即更改密碼，密碼泄漏事件應立即報告所屬部門信息安全員。信息系統(tǒng)用戶的密碼必須定期修改，密碼修改的期限不能超過3個月。由于未及時修改密碼等原因?qū)е沦~戶被鎖，用戶需重新辦理用戶權(quán)限申請手續(xù)。訪問控制用戶必須在經(jīng)科技發(fā)展部批準的指定區(qū)域內(nèi)登錄生產(chǎn)系統(tǒng)，登錄時必須使用指定的設備。生產(chǎn)系統(tǒng)的遠程訪問需要實施嚴格的控制，特權(quán)用戶不得通過遠程訪問登錄生產(chǎn)系統(tǒng)。針對第三方必須進行的遠程訪問，應確保用于連接的物理線路在訪問結(jié)束后及時斷開。操作系統(tǒng)應設置用戶的聯(lián)機時間限制，確保長時間無響應的訪問能夠自動斷開。各部門應該嚴格控制生產(chǎn)系統(tǒng)中系統(tǒng)工具的使用，對于可能超越系統(tǒng)和應用程序控制措施的系統(tǒng)工具使用，應有登記并由相關(guān)負責人審批。操作系統(tǒng)（含網(wǎng)絡操作系統(tǒng)）應設置會話超時退出機制及密碼錯誤超限鎖定機制。信息系統(tǒng)日志記錄必須包含用戶名稱，訪問時間和退出時間等必要信息。無人值守的設備必須采取屏幕保護、會話超時等措施進行保護，防止非授權(quán)訪問。用戶在離開所操作的信息系統(tǒng)時，應退出登錄狀態(tài)。用戶在科技發(fā)展部外部使用移動計算設備（如筆記本計算機）時，必須實施適當?shù)谋Ｗo措施，避免信息泄漏或設備失竊。附則本