系统账号管理标准.docxVIP

系统账号管理标准

我做企业IT运维和信息安全管理快十年了，见过太多因为账号管理混乱捅出来的娄子：离职大半年的员工还能登录内部系统下载核心数据，三四个人共用一个销售账号出了删除客户资料的事查不到责任人，用了好几年的弱密码被黑客撞库拖走了整库客户信息，最后公司赔了几十万不说还坏了口碑。其实这些问题绝大多数都能通过一套明确的管理标准提前避免，定这个标准也不是为了给大家添枷锁，本质上是帮大家规避风险，既保护公司的信息资产，也保护我们每个从业人员不用为不该担的责任背锅。本文制定的系统账号管理标准，覆盖了企业所有信息系统账号从创建到注销的全生命周期管理流程，适用于各类规模的企业内部管理，兼具合规性和可操作性，接下来我会从各个维度展开说明。

1范围与核心基础定义

要把管理标准落到位，首先得把管什么、说的是什么概念说清楚，避免模棱两可留下漏洞。

1.1标准适用范围

本标准适用于企业所有自研、外购、云端部署的信息系统账号管理，不管是面向内部员工使用的OA系统、业务管理系统、代码仓库、数据库、云服务器，还是面向外部合作方、服务商、临时访客的各类登录账号，哪怕是开发测试环境的临时账号，都必须符合本标准的要求。我之前就吃过亏，好几年前一家合作公司只严管生产环境的账号，测试环境没人管，最后被黑客通过测试环境的闲置账号绕到了生产库，把核心业务数据全偷走了，所以哪怕是非生产的账号也不能放，这个口子一定要堵上