用户密码和账号权限管理标准.docVIP

第 第 PAGE 2 页 PAGE 15 用户密码和账号权限管理标准 1 范围 本标准规定了集团公司用户密码和账号权限的管理，包括用户及密码分类、帐号及权限设置、数字证书管理等内容。 本标准适用于集团公司全体员工用户密码和账号权限的管理。 2 规范性引用文件及术语和定义 2.1 规范性引用文件 2.2 术语和定义 2.2.1 用户及密码 本标准所称用户密码，是指涉及企业秘密及个人隐私内容时，进行安全认证所使用的用户及密码，包括信息系统、邮箱系统等。 2.2.2 集团门户账号 集团公司所有员工登录其有权限的业务信息系统所用到的账号，均为该员工本人在人力资源系统中的名字，且唯一和同源，未集成在集团门户的财务系统除外。 2.2.3 数字证书 数字证书就是互联网通讯中标志通讯各方身份信息的一串数字，提供了一种在Internet上验证通信实体身份的方式，数字证书不是数字身份证，而是身份认证机构盖在数字身份证上的一个章或印（或者说加在数字身份证上的一个签名）。它是由权威机构——CA机构，又称为证书授权（Certificate Authority）中心发行的，人们可以在网上用它来识别对方的身份。 3 职责 3.1 集团信息部职责 3.1.1 负责涉及集团信息管理用户及密码的全面工作。 3.1.2 负责制定集团系统用户及密码管理标准。 3.1.3 负责域用户及密码的设定、登记 3.1.4 执行邮箱用户账号的新建和登记工作。 3.1.5 负责定时巡查系统日志，有权对权限异常的账号和过3个月未登录系统的用户进行冻结处理。 3.1.6 负责设置可访问业务管理信息系统的岗位组。 3.1.7 负责数字证书的制作、补办、解锁等工作。 3.2 集团及二级单位人力资源部职责 3.2.1 负责即时通报人员变动情况、保证人员信息正确和完整性。 3.2.2 负责管理通过集团门户登录信息系统的用户密码。对申请人的申请信息进行审核。 3.2.3 在人事系统中进行集团用户新建和密码的重置。 3.2.4 问题解决后将处理结果反馈给问题发起人。 3.2.5 负责除未集成在集团门户的财务系统外所有信息系统的账号管理工作，包括新增员工（用户）及员工（用户）异动、负责处理重名情况、保证个人信息正确和完整性。 3.3 集团各业务管理部门职责 3.3.1 负责制定本业务口信息系统的安全策略等维护工作。 3.3.2 负责管理不通过集团门户登录信息系统的用户密码，对申请人的申请信息进行审核。 3.3.3 执行本业务口信息系统管理员用户及密码的管理工作。 3.3.4 负责本部门涉及网上服务（如网上银行）用户及密码的管理工作。 3.3.5 负责本部门涉及各类应用软件注册码、用户及密码的管理工作。 3.3.6 负责根据人力资源系统中的组织、岗位对本专业信息系统进行授权操作。 3.3.7 负责数字证书的审批和分发管理工作。 3.3.8 对证书申请人身份进行审核。 3.3.9 负责数字证书的分发工作。 3.4 集团财务部职责 3.4.1 负责未集成在集团门户的财务系统的账号及权限等管理工作。 3.5 集团员工职责 3.5.1 集团公司全体员工应对自己的帐号，密码负责，一旦成为集团公司各信息系统的用户，用户应保管好自己的帐户和密码安全，并对因此产生的后果负全部责任。 4 用户密码和账号权限管理的目的与风险 4.1 集团公司用户密码和账号权限管理的目的是保护集团企业成本等重要数据的安全，防止出现泄密事故，保证工作效率的前提下保护集团利益。 4.2 集团公司用户密码和账号权限管理的原则包括： ——合法合规原则：集团用户及密码管理标准应符合国家法律法规和保密类文件的要求； ——分类管理原则：不同类别的用户及密码，管理主体不同，管理流程不同； ——保密原则：用户密码及账号权限关乎集团的信息安全，用户是唯一对自己的密码负有保密责任的人，应保管好自己的账号和密码安全。每个用户都要对其帐户中的所有活动和事件负全责； ——按岗授权原则：各级单位业务信息系统的管理员根据岗位的不同，进行不同使用、审批权限的设置； ——分级上报申请原则：对于集团需数字证书才能登陆的信息系统，申请人根据业务管理需要，首先向分公司业务部门提交申请进行审核，分公司再统一上报至集团归口管理部门。集团归口管理部门复核相关申请信息，确认办理人员名单，再由信息部进行数字证书的签发工作。 4.3 集团公司用户密码和账号权限管理的关键绩效指标包括： ——系统用户申请书备案留存情况； ——集团邮箱系统新建账号台账登记的完整性。 4.4 集团公司用户密码和账号权限管理需应对的主要风险包括： ——人力资源部对申请人身份信息审核不严，以及系统账号授权不规