05-访问控制管理程序-模板.docVIP

ISMS信息安全管理体系文件

PAGE

PAGE14/NUMPAGES14

1.综述

本程序的目的是为推动对访问控制的有效安全管理，包括用户访问管理、用户职责划分、网络访问控制、系统访问管理及应用访问控制、移动计算机和远程控制以下内容：

根据业务和安全需求控制对信息的访问；

防止擅自访问网络、计算机和信息系统中保存的信息；

防止未授权的用户访问；

保护网络服务；

查找未授权的活动。

2.访问控制的业务要求

2.1访问控制管理程序

2.1.1本公司管理的所有逻辑访问控制都应遵守信息安全策略中规定的访问方针。本公司员工按照「信息安全策略」的要求，履行自己的信息安全职责。

2.1.2本公司需要建立统一的访问控制管理程序，由信息安全工作小组批准，综合管理部建立统一访问控制管理程序。策略应考虑到下列内容：

各个业务应用的安全要求；

与业务应用相关的所有信息的标识和该信息面临的风险；

信息传播和授权的策略，例如，了解原则和安全等级以及信息分类的需要；

不同系统和网络的访问控制管理程序和信息分类策略之间的一致性；

关于保护访问数据或服务的相关法律和合同义务；

在认可各种可用的连接类型的分布式和网络化环境中的访问权的管理；

访问控制角色的分离