账号权限管理规范.docxVIP

账号权限管理规范

1范围

本规范适用于公司所有信息系统、业务平台、云资源、基础设施及办公工具的账号全生命周期管理，覆盖对象包括但不限于正式员工、劳务派遣人员、外包人员、第三方合作伙伴人员、临时驻场人员、外部审计人员等所有访问公司资源的主体。

本规范对账号的申请、创建、授权、使用、审计、变更、注销全流程作出明确约束，同时定义了各相关角色的职责、权限分级标准、安全管控要求及违规处置规则。公司所有部门、人员及合作方均须严格遵守本规范要求。

2规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

《中华人民共和国网络安全法》

《中华人民共和国数据安全法》

《中华人民共和国个人信息保护法》

《网络安全等级保护条例》

GB/T22239-2019《信息安全技术网络安全等级保护基本要求》

GB/T28452-2020《信息安全技术应用软件系统通用安全技术要求》

公司《数据分类分级管理办法》

公司《信息安全事件处置规范》

3术语和定义

3.1账号：指用于识别访问主体身份的唯一标识，由账号ID、认证信息（密码、密钥、数字证书、生物特征等）及关联权限属性组成，是主体访问信息系统资源的身份凭证。

3.2权限：指账号对特定资源可执行的操作范围，包括读、写、执行、删除、配