《口令管理规定.pdf》由会员分享，可在线阅读，更多相关《口令管理规定.pdf（12页珍藏版）》请在三一文库上搜索。
1、精品文档 . 附件： 天津市电力公司 信息系统帐号、口令管理规定(试行 ) 第一章总则 第一条为了规范天津市电力公司信息系统中终端计算机、 服务器、网络设备、应用与系统相关帐号、口令的建立、使用、 维护，保证计算机安全和天津市电力公司信息系统正常有序的运 行，特制定本管理规定。 第二条本规定适用于所有使用公司信息系统的用户，包括 数据库系统管理员、业务系统管理员、网络管理员、业务系统的 使用人员。同样适用于天津市电力公司信息系统范围内所有使用 个人计算机及网络的员工。 第二章术语解释 第三条授权用户： 天津市电力公司内部人员：指天津市电力公司的在册职 工； 非天津市电力公司内部人员：指临时到天
2、津市电力公司工 作， 但非天津市电力公司正式员工的人员，包括但不限于开发商、 集成商、供应商、顾问、合作人员、临时工、外聘人员、外包业 精品文档 . 务人员等。 第四条 帐号 帐号指在系统内设定的可以访问本系统内部资源 的 ID 或其他许可形式； 管理员帐号：指在系统中具有较大的权限，能对网 络、应用、系统进行关键性设置权限的账号，典型用户为系统管 理员； 超级管理员帐号：指对系统具有超级权限的帐号， 包含但不限于UNIX的 ROOT ，WINNT 的 administrators组成员， 数据库的 DBA等用户； 公用帐号：指供一组人使用的帐号，其合法使用人 限于一个组内； 匿名帐号：供不确
3、定身份的人员使用的帐号。 第五条 口令 口令：指系统为了认证帐号使用人的身份而要求使 用人提供的证据， 如在数据库系统的口令，办公自动化系统的帐 号文件及帐号口令； 健壮口令：具有足够的长度和复杂度，难于被猜测 的口令； 弱口令：仅由字母、单词、数字或其简单的组合， 精品文档 . 易于被猜测的口令。 第三章帐号的建立 第六条 系统要求 天津市电力公司信息系统所使用的计算机操作系 统、业务系统、数据库、网络设备、应用软件等均需要支持基于 帐号的访问控制功能； 所有需要使用口令的应用软件、业务系统都需要对 口令文件提供妥善的保护。 第七条 帐号申请原则 只有授权用户才可以申请帐号； 任何系统的帐号
4、设立必须按照规定的相应流程规定 进行，具体流程见“附录一： 账号、口令建立、 变更、取消流程”； 用户申请帐号前应该接受适当的培训，以确保能够 正常的操作，避免对系统安全造成隐患； 帐号相应的权限应该以满足用户需要为原则，不得 授予与用户职责无关的权限； 任何帐号必须是可以区分责任人，责任人必须细化 到个人，不得以部门或个人组作为责任人。 第八条 公用帐号 精品文档 . 系统应当严格限制开设公用帐号，一般情况下公用 帐号不得具有访问保密信息和对系统写的权限； 公用帐号应该设立责任人，责任人必须是天津市电 力公司内部人员，负责帐号的正常使用及维护。 第九条 匿名帐号 匿名帐号只被允许访问系统中可
5、公开的资源，不得 访问任何内部公开及内部公开以上保密等级的资源； 系统应对匿名账号的访问进行详细记录。 第四章口令的设立 第十条 口令的生成 帐号分配时必须同时生成相应的口令，并且与帐号 一起传送给用户； 用户在接受到帐号和口令后，必须马上修改口令， 任何时间都不得存在没有口令的帐号； 对于系统的帐号验证只有口令作为证据的系统，如 果帐号名由确定的且公开的规则产生的，则口令不应当为公开的 口令； 管理员在传递帐号和口令时，应当采取加密或其他 安全的传输途径，以保证口令不会被中途截取。 精品文档 . 第十一条口令设立的原则 帐号口令必须是具有足够的长度和复杂度，使口令 难于被猜测； 帐号口令应定
6、期进行修改； 新口令与旧口令之间应没有直接的联系，以保证不 可由旧口令推知新口令； 帐号的口令不应当取有意义的词语或其他符号，如 使用者的姓名，生日或其它易于猜测的信息。 第十二条口令的最低标准 普通用户口令长度不得低于8 位，最近 6 个口令不 可重复，口令中必须包含字母和数字； 管理员和超级管理员帐号口令长度不得低于8 位， 最近 10 个口令不可重复，口令中必须包含字母、数字、符号， 口令中同一个符号出现不得多于2 次，各个口令中相同位置的字 符相同的不得多于3 个，口令不得为有意义的单词或短语。 第五章账号的变更 第十三条帐号的权限变更 用户在工作职责发生变化，造成现有职责与现有账 号
7、权限不符时， 应当申请权限的变更；管理员发现用户具有工作 不需要的权限，可以直接停止多余的权限； 精品文档 . 账号权限变更必须按照规定的相应流程规定进行， 具体流程见“附录一：账号、口令建立、变更、取消流程”； 第十四条口令的修改 用户应当定期修改帐号口令，修改口令的间隔应小 于本标准的相关规定，对于本标准没有规定的用户，口令修改间 隔应当小于6 个月； 用户必须在管理员要求更改口令时进行更改口令； 如果用户拒绝配合，管理员可以在通知用户及其主管后，关闭用 户的帐号，以保证信息系统的安全；用户如需继续使用该帐号， 必须通过规定的流程向管理员申请重新开通，具体流程见“附录 一：账号、口令建立、
8、变更、取消流程”； 用户丢失或遗忘口令，必须通过规定的相应流程向 管理员申请初试化口令，用户在接到回执后，应马上更改口令， 具体流程见“附录一：账号、口令建立、变更、取消流程”； 管理员不可在没有用户申请的时候私自更改用户帐 号的口令； 超级管理员帐号的口令属于系统最高机密，应该严 格限定使用范围； 其他人员确因工作需要而使用超级管理员帐号 和口令的， 应当向超级管理员帐号和口令的责任人申请口令，并 在完成操作后，由责任人更改口令。 精品文档 . 第六章账号的取消 第十五条帐号的取消 用户如果因职责变动而离岗，不再需要系统权限且 无须将帐号移交给其他责任人，其原岗位主管应当申请帐号的销 户，由
9、管理员取消其账号； 用户离职后，管理员应当关闭用户在系统中的所有 权限； 账号取消必须按照规定的相应流程规定进行，具体 流程见“附录一：账号、口令建立、变更、取消流程”。 第七章账号、口令的维护 第十六条帐号的使用 任何帐号只限于申请过程中声明的用户使用，禁止 其他人使用此帐号； 信息系统正式运行前，必须更改系统中的缺省帐号 口令，以保证正式环境的安全； 用户不得使用帐号访问与自己工作无关的资源。 第十七条用户的责任与义务： 所有用户有义务确保自己的口令的安全，系统帐号 与口令不得泄漏给他人，同时避免使用弱口令； 精品文档 . 对于使用便携式计算机的用户，应确保设置开机 BIOS口令； 使用远
10、程登陆的用户，确保不将口令保留在计算机 上； 不将内部应用系统中使用的帐号和口令用于其他个 人应用中； 任何人不得公开其本人或他人口令的全部或部分； 严禁任何人通过任何手段非法取得他人帐号和口令 进入系统； 任何人不得将其帐号的口令告之无权使用此帐号的 人，如果用户此种行为导致其他人用此帐号造成对天津市电力公 司信息系统的影响， 帐号持有人和造成影响的行为的实施人负有 相同的责任； 严禁任何人利用系统安全漏洞访问其权限之外的资 源。 第十八条系统管理员的责任与义务： 确保除匿名帐号外，所有系统用户都必须有口令； 定期审计，检查系统用户的数量和权限； 确保系统和网络设备无默认帐号和口令； 精品文
11、档 . 确保关键应用服务器启用口令强制策略； 对用户进行口令安全培训； 同一个管理员在不同主机上应使用不同的帐号和口 令。 第八章考核与处罚 第十九条对违反本规定的用户根据津电安监2007 36 号 天津市电力公司安全生产工作奖惩规定进行处罚。 第二十条如对安全生产造成影响，则依据200205 号 天津市电力公司信息系统事故调查及考核办法进行处理。 对 于违反国家法律的，依法追究法律责任。 第九章维护与解释 第二十一条本规定由天津市电力公司科技信息部每年审 视一次，根据审视结果修订，并颁布执行。 第二十二条本规定的解释权归科技信息部。 第二十三条本规定自签发之日起生效，以前发布的相关 制度作废
12、。 精品文档 . 附录一账号、口令建立、变更、取消流程 一、用户填写书面账号申请单，详细、正确填写相关内 容； 二、由用户所在部门的主管进行申请内容的审查，并做 批复； 三、交于科技信息部相关人员进行审批； 四、对于涉及天津市电力公司涉密信息的账号申请应 交于总经理工作部进行审批； 五、用户将申请单交于科技信息部，由科技信息部负责 进行账号、口令的建立、变更、取消。科技信息部进行相应的记 录备案。 六、当用户接收到账号、口令后，应立即更改口令，且 口令强度应符合本管理规定的要求。 七、例外情况： 因系统安全原因或紧急情况，在得到相关主管部门允许 的情况下，不经过以上流程而执行帐号操作。 精品文档 . 附录二账号、口令建立、变更、取消申请表 编号：申请日期：年月日 用户姓名 代 办 人 员 姓名 内 部 人 员 填 写 单 位 部门 岗 位 职 务 联系电 话 外 部 人 员 填 写 单 位 涉 及 部 门 联 系 电 话 申请项目新建 权限变更 口令变更 账号取消 相 关 应 用 、 系 统、设备 办 公 自 动 化 邮 件 应 用 应 用 名 称 _ 服务器 服务器名称 _ 网络设备 设备名称 _ 权限描述 申请理由 部门主管审批 科 技 信 息 部 审 批 精品文档 . 总 经 理 工 作 部 审批（涉密账号 需要） 备注用 户 签 章