公司账号和口令管理办法.docxVIP

公司账号和口令管理办法

第一章总则

第一条随着XXXX公司(以下简称公司)信息系统建设的发展，内部员工在使用信息系统的过程中，使用了基于操作系统的账号、基于数据库的账号和基于应用系统的账号以保障系统的安全性。大量账号的使用使得账号口令的管理复杂化，为了保证各系统的账号口令管理水平保持在一致的水平之上，特制定本办法。

第二条本办法规定了账号和口令管理的相关职责定义和管理措施，是公司内网账号和口令管理工作依据。

第三条本办法适用于公司、全资子公司及比照全资子公司管理的控股子公司（以下简称子公司）。公司控股投资企业可参照执行。

第二章组织和职责

第四条公司信息化管理部运行管理处指定专人负责登记备案账号及相应的用户权限。

第五条各个应用系统的负责人负责审核账号及用户权限变更的合法性。

第六条各个应用系统的负责人指定或委派专人负责增加、维护、整理及废除系统使用者的账号及相应的用户权限。

第七条个人计算机中的账号及用户权限定义由计算机的使用者进行维护与管理。

第三章账号管理办法

第八条在使用和管理系统时，所有用户都应拥有个人专用的唯一标识符（用户ID）。不同的管理者必须使用不同的账号登录，并且只能在需要的时候转换为管理员身份进行所需的操作。

第九条除非由人事部门正式授权或要求，否则不允许将个人使用的账号及口令告知他人。

第十条系统中不允许有不明用途的账号存在，所有存在的账号必须有明确的文档（电子或纸制）说明其用途、使用者、添加时间、权限及其他信息。所有操作系统应禁止使用无口令的用户账户。

第十一条系统的负责人至少每六个月对系统内无用及过期的账号进行废除或锁定（例如系统默认账号user,guest,daemon,bin,sys,adm,lp,nobody等），并将结果呈文上报至运行管理处。

第十二条用户账号授权应该满足最小授权和必需知道的原则。最小授权原则指仅让用户能够访问其工作需要的信息，其他信息不能被该用户访问；必需知道原则指应该让用户有权限访问其工作中需要用到的信息。

第十三条对于系统的特权账号（包括并不限于root、administrator、enable、sa）都应由唯一的人员掌握，每次更改口令后，书面上交到系统负责人处备案。

第十四条Guest账号

（一）应禁止长期保留Guest账号。

（二）当系统安装完成以后必须视情况删除Guest账号，当用户确实需要Guest账号进行临时的访问时，才可将Guest账号激活。

（三）应确保Guest账号的口令安全。

第十五条账号管理相关表单见附件。

第四章口令管理办法

第十六条所有账号的口令强度必须满足第四章第27条和第28条中的要求。

第十七条所有账号的口令必须至少每六个月更换一次。

第十八条当系统管理员由于出差或其他原因无法直接操作系统时，必须由系统管理员授权运行管理处人员代为执行操作，并对相关操作进行记录。

第十九条特权账号的口令必须和其他非特权账号的口令有三个以上的不同字符。

第二十条口令最好不要以明文的方式记录在纸上存放，如果一定需要，必须由系统的负责人正式授权和批准，并且记录口令的纸张必须保存在安全的位置。

第二十一条口令不能以明文的形式记录在可以远程访问的电子媒体中，存放口令的电子媒体必须保存在安全的位置。

第二十二条口令不能在电子邮件或者其他电子方式下以明文方式传输。

第二十三条如果系统中存在着用于管理的缺省账号和口令，必须禁用此类账号或更改缺省口令。

第二十四条不要使用非运行管理处授权和许可的口令记忆软件。

第二十五条如果口令被破解，应立即报告运行管理处，并且更改口令。

第二十六条对于不使用一次性口令的账号，用户应该有意识地选择强壮的口令（即难以破解和猜测的口令），弱口令有以下特征：

（一）口令长度少于8个字符。

（二）口令是登陆账号或者登陆账号的任何变形（例如大写、反序等）。

（三）口令是常规的单词，例如英文字典中查得到的单词。

（四）比较常见弱口令，例如：

1.任何个人信息，例如名字、生日、电话号码、身份证、门牌号等；

2.计算机名字、术语、公司名字、地名、硬件或软件名称；

3.全部是数字或者字母，例如aaabbb、asdfgh、123456、123321等；

4.任何上面一种方式倒过来写；

5.任何上面一种方式带了一个数字。

第二十七条强壮的口令具备以下特征：

（一）同时具备大写和小写字符。

（二）同时具备字母、数字和特殊符号，特殊符号举例如下：

（三）8个字符或者以上。

（四）不是字典上的单词或者汉语拼音。

（五）不是基于个人信息、名字和家庭信息。

（六）口令不应该记在未经特别保护的纸面上，未经加密不能存储在电子介质中。口令不应该太难记忆。

第二十八条工作中的账号口令不要和个人其他账号口令相同。尽量做到不同