口令管理规定.docx

资源描述

口令管理规定.docx

《口令管理规定.docx》由会员分享，可在线阅读，更多相关《口令管理规定.docx（8页珍藏版）》请在冰豆网上搜索。

口令管理规定.docx

口令管理规定

附件：

天津市电力公司

信息系统帐号、口令管理规定（试行）

第一章总则

第一条为了规范天津市电力公司信息系统中终端计算机、服务器、网络设备、应用与系统相关帐号、口令的建立、使用、维护，保证计算机安全和天津市电力公司信息系统正常有序的运行，特制定本管理规定。

第二条本规定适用于所有使用公司信息系统的用户，包括数据库系统管理员、业务系统管理员、网络管理员、业务系统的使用人员。

同样适用于天津市电力公司信息系统范围内所有使用个人计算机及网络的员工。

第二章术语解释

第三条授权用户：

●天津市电力公司内部人员：

指天津市电力公司的在册职工；

●非天津市电力公司内部人员：

指临时到天津市电力公司工作，但非天津市电力公司正式员工的人员，包括但不限于开发商、集成商、供应商、顾问、合作人员、临时工、外聘人员、外包业务人员等。

第四条帐号

●帐号∶指在系统内设定的可以访问本系统内部资源的ID或其他许可形式；

●管理员帐号：

指在系统中具有较大的权限，能对网络、应用、系统进行关键性设置权限的账号，典型用户为系统管理员；

●超级管理员帐号：

指对系统具有超级权限的帐号，包含但不限于UNIX的ROOT，WINNT的administrators组成员，数据库的DBA等用户；

●公用帐号：

指供一组人使用的帐号，其合法使用人限于一个组内；

●匿名帐号：

供不确定身份的人员使用的帐号。

第五条口令

●口令：

指系统为了认证帐号使用人的身份而要求使用人提供的证据，如在数据库系统的口令，办公自动化系统的帐号文件及帐号口令；

●健壮口令：

具有足够的长度和复杂度，难于被猜测的口令；

●弱口令：

仅由字母、单词、数字或其简单的组合，易于被猜测的口令。

第三章帐号的建立

第六条系统要求

●天津市电力公司信息系统所使用的计算机操作系统、业务系统、数据库、网络设备、应用软件等均需要支持基于帐号的访问控制功能；

●所有需要使用口令的应用软件、业务系统都需要对口令文件提供妥善的保护。

第七条帐号申请原则

●只有授权用户才可以申请帐号；

●任何系统的帐号设立必须按照规定的相应流程规定进行，具体流程见“附录一：

账号、口令建立、变更、取消流程”；

●用户申请帐号前应该接受适当的培训，以确保能够正常的操作，避免对系统安全造成隐患；

●帐号相应的权限应该以满足用户需要为原则，不得授予与用户职责无关的权限；

●任何帐号必须是可以区分责任人，责任人必须细化到个人，不得以部门或个人组作为责任人。

第八条公用帐号

●系统应当严格限制开设公用帐号，一般情况下公用帐号不得具有访问保密信息和对系统写的权限；

●公用帐号应该设立责任人，责任人必须是天津市电力公司内部人员，负责帐号的正常使用及维护。

第九条匿名帐号

●匿名帐号只被允许访问系统中可公开的资源，不得访问任何内部公开及内部公开以上保密等级的资源；

●系统应对匿名账号的访问进行详细记录。

第四章口令的设立

第一十条口令的生成

●帐号分配时必须同时生成相应的口令，并且与帐号一起传送给用户；

●用户在接受到帐号和口令后，必须马上修改口令，任何时间都不得存在没有口令的帐号；

●对于系统的帐号验证只有口令作为证据的系统，如果帐号名由确定的且公开的规则产生的，则口令不应当为公开的口令；

●管理员在传递帐号和口令时，应当采取加密或其他安全的传输途径，以保证口令不会被中途截取。

第一十一条口令设立的原则

●帐号口令必须是具有足够的长度和复杂度，使口令难于被猜测；

●帐号口令应定期进行修改；

●新口令与旧口令之间应没有直接的联系，以保证不可由旧口令推知新口令；

●帐号的口令不应当取有意义的词语或其他符号，如使用者的姓名，生日或其它易于猜测的信息。

第一十二条口令的最低标准

●普通用户口令长度不得低于8位，最近6个口令不可重复，口令中必须包含字母和数字；

●管理员和超级管理员帐号口令长度不得低于8位，最近10个口令不可重复，口令中必须包含字母、数字、符号，口令中同一个符号出现不得多于2次，各个口令中相同位置的字符相同的不得多于3个，口令不得为有意义的单词或短语。

第五章账号的变更

第一十三条帐号的权限变更

●用户在工作职责发生变化，造成现有职责与现有账号权限不符时，应当申请权限的变更；管理员发现用户具有工作不需要的权限，可以直接停止多余的权限；

●账号权限变更必须按照规定的相应流程规定进行，具体流程见“附录一：

账号、口令建立、变更、取消流程”；

第一十四条口令的修改

●用户应当定期修改帐号口令，修改口令的间隔应小于本标准的相关规定，对于本标准没有规定的用户，口令修改间隔应当小于6个月；

●用户必须在管理员要求更改口令时进行更改口令；如果用户拒绝配合，管理员可以在通知用户及其主管后，关闭用户的帐号，以保证信息系统的安全；用户如需继续使用该帐号，必须通过规定的流程向管理员申请重新开通，具体流程见“附录一：

账号、口令建立、变更、取消流程”；

●用户丢失或遗忘口令，必须通过规定的相应流程向管理员申请初试化口令，用户在接到回执后，应马上更改口令，具体流程见“附录一：

账号、口令建立、变更、取消流程”；

●管理员不可在没有用户申请的时候私自更改用户帐号的口令；

●超级管理员帐号的口令属于系统最高机密，应该严格限定使用范围；其他人员确因工作需要而使用超级管理员帐号和口令的，应当向超级管理员帐号和口令的责任人申请口令，并在完成操作后，由责任人更改口令。

第六章账号的取消

第一十五条帐号的取消

●用户如果因职责变动而离岗，不再需要系统权限且无须将帐号移交给其他责任人，其原岗位主管应当申请帐号的销户，由管理员取消其账号；

●用户离职后，管理员应当关闭用户在系统中的所有权限；

●账号取消必须按照规定的相应流程规定进行，具体流程见“附录一：

账号、口令建立、变更、取消流程”。

第七章账号、口令的维护

第一十六条帐号的使用

●任何帐号只限于申请过程中声明的用户使用，禁止其他人使用此帐号；

●信息系统正式运行前，必须更改系统中的缺省帐号口令，以保证正式环境的安全；

●用户不得使用帐号访问与自己工作无关的资源。

第一十七条用户的责任与义务：

●所有用户有义务确保自己的口令的安全，系统帐号与口令不得泄漏给他人，同时避免使用弱口令；

●对于使用便携式计算机的用户，应确保设置开机BIOS口令；

●使用远程登陆的用户，确保不将口令保留在计算机上；

●不将内部应用系统中使用的帐号和口令用于其他个人应用中；

●任何人不得公开其本人或他人口令的全部或部分；

●严禁任何人通过任何手段非法取得他人帐号和口令进入系统；

●任何人不得将其帐号的口令告之无权使用此帐号的人，如果用户此种行为导致其他人用此帐号造成对天津市电力公司信息系统的影响，帐号持有人和造成影响的行为的实施人负有相同的责任；

●严禁任何人利用系统安全漏洞访问其权限之外的资源。

第一十八条系统管理员的责任与义务：

●确保除匿名帐号外，所有系统用户都必须有口令；

●定期审计，检查系统用户的数量和权限；

●确保系统和网络设备无默认帐号和口令；

●确保关键应用服务器启用口令强制策略；

●对用户进行口令安全培训；

●同一个管理员在不同主机上应使用不同的帐号和口令。

第八章考核与处罚

第一十九条对违反本规定的用户根据津电安监〔2007〕36号《天津市电力公司安全生产工作奖惩规定》进行处罚。

第二十条如对安全生产造成影响，则依据〔2002〕05号《天津市电力公司信息系统事故调查及考核办法》进行处理。

对于违反国家法律的，依法追究法律责任。

第九章维护与解释

第二十一条本规定由天津市电力公司科技信息部每年审视一次，根据审视结果修订，并颁布执行。

第二十二条本规定的解释权归科技信息部。

第二十三条本规定自签发之日起生效，以前发布的相关制度作废。

附录一账号、口令建立、变更、取消流程

一、用户填写书面账号申请单，详细、正确填写相关内容；

二、由用户所在部门的主管进行申请内容的审查，并做批复；

三、交于科技信息部相关人员进行审批；

四、对于涉及天津市电力公司涉密信息的账号申请应交于总经理工作部进行审批；

五、用户将申请单交于科技信息部，由科技信息部负责进行账号、口令的建立、变更、取消。

科技信息部进行相应的记录备案。

六、当用户接收到账号、口令后，应立即更改口令，且口令强度应符合本管理规定的要求。

七、例外情况：

因系统安全原因或紧急情况，在得到相关主管部门允许的情况下，不经过以上流程而执行帐号操作。

附录二账号、口令建立、变更、取消申请表

编号：

申请日期：

年月日

用户姓名

代办人员姓名

内部人员填写

单位

部门

岗位职务

联系电话

外部人员填写

单位

涉及部门

联系电话

申请项目

新建□权限变更□口令变更□账号取消□