用户帐户及口令管理办法

《用户帐户及口令管理办法》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、信息系统用户及口令管理办法第一章总则第一条1=1的：为规避风险，杜绝安全隐患，进一步规范XX银行（以下简称“我行”）生产系统、测试环境和开发环境的用户及口令管理，特订定本办法。第二条依据：本管理办法根据《XX银行信息安全管理策略》制订。第三条范围：木管理办法适用于我行及所辖分、支行。第四条定义（一）生产业务系统：指我行从事金融服务的应用网络系统，包括综合业务、外币业务、大小额支付、交换中心、银联前置等银行对外营业的各种核心业务系统。（二）管理信息系统：指我行从事日常办公及信息管理的计算机网络系统，具

2、体包括办公自动化系统、信贷管理、人力资源管理、风险管理平台等用来进行内部管理的应用软件系统。（三）生产系统：包括生产业务系统和管理信息系统。（四）开发坏境：指我行所有进行开发的系统环境。（五）测试坏境：指我行所有进行测试的系统环境。（六）系统管理员：我行科技信息部各系统硬件及软件的系统管理人员。（七）数据库管理员：我行科技信息部各系统的数据库管理人员。（八）应用系统管理员：我行科技信息部各系统的应用维护人员。（九）测试人员：我行各测试系统的测试人员。（十）开发人员：我行各应用系统的开发人员。第五条遵

3、循原则（一）预防性原则：遵循以预防为主、防患于未然的原则，预防案件、事故的发生。（二）可审计性原则：口令的过程必须保留痕迹，可被审计或追溯。（三）有限授权原则：对任何人都不能授了过度的、不受监督和制约的权限。（四）分离制约原则：每一次使用生产系统口令，都必须冇两人同时参与，由双人分段管理口令。（五）职责不相容原则：对不相容职责进行岗位分离。（六）监督制约原则：针对口令的使用及记录，建立相应的监督检查机制。第二章用户管理要求第六条对于每个系统，应根据职责不相容原则，建立权责分离的业务矩阵表，定义系统不

4、同用户组及其访问权限，包括终端用户、系统开发人员、系统管理员、应用系统管理员等用户组。牛产系统用户按照“知所必需”的存取控制原则，填写《用户权限申请表》，相关部门负责人审批通过后由系统管理人员操作。第七条用户账号必须由运行维护中心负责人和系统管理员进行检查，确保用户不会被赋予互相冲突的权限。以下职责互和不和容，且应由不同人员担任：（一）系统开发（二）测试（三）系统运行维护管理（四）系统安全检杳第八条对于每个生产系统，系统管理员、数据库管理员及应用系统管理员的授权必须山1T管理层审批，活动日志必须山倍

5、息定期审阅。应用系统管理员根据业务部门要求，维护用户权限并定期生成系统用户权限清单，交相应业务部门负责人审批确认，对于发现的不恰当权限及时修正。系统悸理员维护操作系统的用户权限并定期生成用户权限清单，交部门负责人审批确定，对于发现的不恰当权限及时修正。第九条禁止开发人员在正常情况下进入生产系统。只有在得到管理层批准执行紧急修复任务时，开发人员才能在运行维护中心的监控下临时进入生产系统，所冇的紧急修复活动都应立即进行记录和审核o第三章口令管理要求第十条按照信息系统对我行业务的敏感程度、重要程度，以及系

6、统的授权访问用户的范围建议对信息系统进行分级归类，不同级别采取不同的账号、口令管理方式。第十一条建议将我行信息系统在口令管理方式上分为三个级别：（一）A级系统，包括核心业务区域、前置区的主机系统。口令管理方式建议釆用口令信封双人分段或单人控制的方式。（二）B级系统，包括各种外围业务系统（如网上银行、电话银行、外网网站、0A系统等），II令管理方式建议采用集中账号口令管理方式，并且采用双因素身份认证方式。（三）C级系统，包括各部门内部使用的M用系统、开发系统或测试系统，I」令管理方式建议各部门内各系统

7、管理员通过系统内置的账号、口令管理机制进行管理。第十二条生产系统口令分为超级用户口令、数据库用户口令、中间件用户口令、应用用户口令、查询用户口令。除查询用户口令外，其他口令的口令长度至少为8个不含空格的字符，口令通常应由不代表任何含义的字母、数字和字符混合组成，口令不能和用户的姓名、生日、电话号码、车牌照、公司名称、H期、用户账号等信息相关联。牛产系统超级用户口令、数据库用户口令、小间件用户口令必须定期每90天强制性更改一次，应用用户口令每个刀更改一次，若口令逾期而未更改，则该用户将被锁定，口令不能

8、和前6次的口令相同，口令错误输入的次数应不得超过3次，否则用八账号将被锁定。第十三条牛产系统超级用户口令原则上由系统管理员使用和管理；数据库用户口令由数据库管理员使用和管理；屮间件用户口令、应用用户口令及查询用户口令由应用系统管理员使用和管理。第十四条每个生产系统建立两个同权限的超级用户，一•个超级用户作为备份，特殊情况下使用，另一个作为H常维护使用。备用超级用户的口令信封由总部科技信息部综合科保管。第十五条主产系统口令（查询川户口令除外）进行分段双人管理，rti使川