帐号安全管理标准

《帐号安全管理标准》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、城建宏信有限公司帐号安全管理标准修订记录版本编号版本日期修订者说明VI.02015-04-20曹宏涛初稿第1章概述41.1.目的41.2.适用范围41.3.适用对象4第2章标准42.1.标准概述42.2.标准内容52.2.1.用户身份标识52.2.2.用户身份认证.6223授权62.24帐号口令管理7225口令共享8第1章概述有效规范的帐号安全管理是保障信息系统安全的必要手段。用户帐号管理主要是对用户的身份鉴定、认证和访问授权进行管理，通过此控制并管理对IT系统、应用程序和其它城建宏信信息资源的访问。同时帐号管理述对审计和访问授权的合法性提供了必要保障。该文档制定

2、在用户被调职、提升或解雇、退休时能够及时修改和删除访问权限的帐号管理标准。1.1.B的建立帐号安全管理标准的目的在于合理地管理能够访问或修改城建宏信数据资源的各种帐号，确立包括建立、监控、修改、注销和删除帐号的规则。12适用范围本标准在公司范围内发布，面向所有城建宏信员工，合同工，供应商以及其他任何授权使用城建宏信内部计算机的人员都必须遵守。1.3.适用对象该帐号安全管理标准适用于任何授权访问城建宏信信息资源的帐号。第2章标准2.1.标准概述以下标准条FI对帐号进行创建，激活、中止，修改和删除帐号访问资源的权限以及帐号口令管理、共享和相关责任进行了说明。22标准内

3、容2.2.1・用户身份标识•每个系统的用户标识（例如UserID,证书）需能代表某个系统或应用的用户。每个账号需要有一个所属人。•不允许共享用户身份或组身份。•内部用户身份标识命名符合以下的规则：1.身份标识基本规则为员工的姓名全名拼音。2.用户身份标识出现重名时，采用重名冲突规则解决。用户身份标识超长时，采用超长规避规则处理。♦重名冲突规则考虑到目前无法确定一个最佳的重名冲突解决规则，这里列出儿个重名冲突解决办法，系统实现时可选择其屮任意一个，但在同一个系统屮不要几种规则同时使用。规则一：“符合基木规则的用户ID”++［后缀］（注：下划线）。规则二：“符合基本规

4、则的用户ID”+“■”+［后缀］（注：短横线）。规则三：“符合基木规则的用户ID”++［后缀h规则四：“符合基本规则的用户ID”+［后缀］。其屮，建议［后缀］为长度小于等丁3位的数字或字母。举例：如公司内有两名员工叫王宏，则一个王宏的用户ID为wanghong,按照以上规则,另一个王宏的用户ID可能分别是awanghong_1”，uwanghong-001v,“wanghong.tom”，“wanghong3”。♦超长规避规则冇些系统对用户ID的最大长度冇限制。当按照规则生成的用户ID超过某个系统的用户ID长度限制时，在该系统中此用户的ID按照系统允许的最大长度从

5、左边开始截取。举例：一名员工姓名为“赵红红”，按照基本规则其用户ID为“zhaohonghong”,共12个字母。假定某系统允许的用户ID最长为8位，则该名员工的用户ID从左边开始截取8个字母，为“zhaohong”。如果截取后的用户ID与英他人的ID出现重复，则将截取后的ID继续适当缩短，然后用重名冲突规则进行处理。举例：接前例，赵红红的员工ID截取后为“zhaohong",与另一名员工赵虹的用户ID发生重名。如果采用重名冲突规则四，赵红红的员工ID最后可定为“zhaoho"。•第三方用户身份标识命名符合规则：以特殊的、固定的字符开头，比如建立基本规则为“c_”

6、+其姓名全名拼咅（注：以小写字母c和下划线开头。）2.2.2.用户身份认证•不允许在没有通过验证的情况下，访问网络设备和其它信息处理系统。•连续的登陆尝试应受限制，并记录失败的登陆尝试，如果系统功能可以实现，在连续第三次错误的口令登录尝试时，失效或锁住此用户的身份，并在一定时间间隔后或邮管理员恢复该帐号。2.2.3.授权•应该根据业务的需耍来授予新用户的访问权限，也意味着正式的授权过程。授予个人的权限应该和他们的工作职能一致。对于个人來说，每次授权的访问需要鉴定用户的身份。•注册过程，至少应包含以下内容：♦新员工在人事部门注册并申请相关权限，并从应用子系统负责部门

7、主管获得访问信息设备或服务的授权。♦检杳访问的级别是否和城建宏信的业务需要吻合。♦业务需求以外的特殊权限要求需要从本部门经理和应用子系统负责部门主管获得访问信息设备或服务的授权。•所有在一段预定义的时间内未使用的帐号将被废除。•各应用子系统的权限需耍定期进行检查。间隔吋间和检查方式详见各子系统相关流程文档。•当一些职员被调动到其他部门或者不再具有相应的角色和使用需要，那么所有有关的用户帐号和信息系统权限将被立刻小止。•一些特别权限的使用应被严格控制。特别权限的使用将被限制在职责范围内所需工作的最低权限。超过普通用户的权限，必须基于业务需求，并得到系统负责人的批准。

8、•系统负责