用户帐号和密码安全管理规范

《用户帐号和密码安全管理规范》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、用户账号和密码安全管理规范用户账号和密码安全管理规范V1.0**SecurityFrameworkPolicyPage16of16用户账号和密码安全管理规范目录概述4适用范围5用户帐号的分类6用户帐号的创建7用户帐号创建流程7用户帐号创建的安全事宜7密码设置标准和最小强度规定9密码设置标准9密码最小强度规定9用户帐号和密码的保护11用户帐号和密码的管理13用户密码的变更13用户帐号的禁止13用户帐号的删除13用户帐号和密码管理制度的实施15实施工作流程15更新维护要求15奖励和处罚16参考文献17**SecurityFrameworkPolicyPage16of16用户账号和密码安全管理

2、规范概述用户帐号和密码是计算机信息系统中大量使用的用户身份验证的手段。几乎所有的访问控制、安全审计等信息安全技术防范措施都是建立在“帐号+密码”的用户身份验证机制上。因此，缺乏用户帐号和密码管理或不规范的用户帐号和密码管理都会使得**信息安全设备和系统形同虚设。本管理制度的主要作用在于对**用户帐号按照其重要性进行分类，并从用户帐号和密码的创建、保护、变更和废除等方面，对用户帐号和密码的相关管理作出详细的规定。本管理制度从以下几个方面对用户帐号和密码安全管理进行全面阐述：n用户帐号的分类根据用户帐号的权限不同，对不同的用户帐号进行归纳分类。n用户帐号的创建规定了用户帐号和密码创建的流程和

3、所需遵守的安全规章制度。密码的设置标准和最小强度要求规定了密码设置时需要遵守的安全规章制度和不同安全级别的用户帐号所要求的密码强度。n用户帐号和密码保护规定了用户在使用帐号和密码时，所必须遵守的安全规章制度，从而最大限度地确保帐号和密码的安全性。n用户帐号和密码的管理规定了更改、废除用户帐号（权限）和密码的流程和相关安全事宜。n用户帐号和密码管理制度的实施规定了本管理制度的具体实施细则，包括工作流程、更新要求和奖惩措施等。**SecurityFrameworkPolicyPage16of16用户账号和密码安全管理规范适用范围本管理制度适用于**所有用户帐号和密码，以及能访问相关计算机信息

4、的员工，包括管理、支持、维护用户帐号和密码的IT人员。**SecurityFrameworkPolicyPage16of16用户账号和密码安全管理规范用户帐号的分类根据信息安全的需要，把**计算机信息系统用户帐号分为以下几类：n信息安全员帐号由**信息安全员具体掌管。一般是指所有计算机系统，包括小型机操作系统、业务和办公服务器操作系统、数据库、关键业务和办公应用程序、网络管理应用程序、关键网络设备、加密设备和应用程序的超级管理员帐号或有超级管理员权限的帐号。其主要用于创建、初始（密码）、变更（权限）、删除、禁止系统管理员帐号和进行其他计算机信息系统安全审计工作等。n系统管理员帐号由相关系

5、统管理员具体掌管，一般是指所有计算机系统，包括小型机操作系统、业务和办公服务器操作系统、数据库、关键业务和办公应用程序、网络管理应用程序、关键网络设备、加密设备和应用程序的有管理普通用户和操作员帐号、设定普通用户和操作员访问许可、修改系统配置、安装系统组件等权限的帐号。n系统操作员帐号由相关系统操作员拥有的，有限操作权限的帐号。系统操作员帐号主要用于完成既定的计算机信息系统的操作工作，例如打印、备份、数据输入等。n普通用户帐号由最终用户拥有的有限操作权限的帐号，用于完成日常工作。**SecurityFrameworkPolicyPage16of16用户账号和密码安全管理规范用户帐号的创建

6、用户帐号创建流程普通用户和操作员帐号由具体用户向所在部门的主管提出书面申请，经其核准后，送交系统管理员具体实施帐号和密码的初始化程序，并登记备查，然后通知有关用户。如果需要创建系统管理员帐号或是信息安全员帐号，则需要向**信息安全主管提出书面申请。经核实批准后，再由**信息安全主管授权，才能实施帐号和密码的初始化程序，并登记备查。**可参照执行。所有的步骤（包括临时权限的授予和取消步骤），由系统的安全日志组件自动记录如果系统不提供相应的日志记录功能，必须考虑以手工的方式对整个过程进行记录。。信息安全员必须对相关帐号日志和帐号创建申请进行定期（每月一次）安全审计。用户帐号创建的安全事宜在创

7、建用户帐号时，必须遵循下列安全规定：**SecurityFrameworkPolicyPage16of16用户账号和密码安全管理规范n严格限制创建公用用户帐号，且公用帐号不得具有访问敏感信息以及“写”和“执行”的系统权限。n正式用户帐号的申请人只局限于本**部员工。n用户帐号的权限设置应遵循“最小需要知道”原则，即给用户能完成工作的最小权限。n关闭任何缺省的匿名帐号。n系统开启对用户帐号、用户权限和登录管理的日志审计功能。n禁止使用