1.0目的
为了确保网络安全运行，阻止黑客攻击或非法用户越权防问，防止敏感信息的丢失、泄漏或破坏，保证公司的利益。
2.0适用范围
本规范适用于公司所有应系统、网络设计以及网络终端的密码管理。
3.0定义
4.0职责
4.1 IT部：IT部负责本规范的制定和维护；IT负责本规范的执行与监督。
5.0规范内容
5.1每个系统管理员、维护人员或用户的帐号和密码必须是一一对应的。
5.2 密码最长期限：密码的有效期限根据系统特点在系统内设置，当密码的使用时间达到
或超过此期限时，系统会自动要求用户更改密码。用户应及时按提示更改密码，否则
系统会将用户账号锁定。
5.3强制密码历史：密码不应与原有密码相同，否则就失去了密码期限限制的作用。域用
户只有在更改过3次密码后，才能再次使用以前的密码,但不可使用IT部门交付的初
始密码
5.4 密码最小长度：密码最小长度为6位字符,系统管理员和系统维护人员的密码长度至少
为8位字符。
5.5密码复杂性要求密码至少应包括以下四种字符中的3种：
5.5.1大写英文字符
5.5.2小写英文字符
5.5.3阿拉伯数字
5.5.4特殊符号(如!/$/#/%等)
5.6用户密码不能包含用户名称中的3个或3个以上字符。
5.7以下情况发生后，帐号将被锁定:
5.7.1连续五次输入错误的密码后；
5.7.2超过密码最长期限仍未更改密码；
5.7.3计算机黑客攻击。
当出现用户账号被锁定的提示时，用户应联系IT部处理。
5.8 每个密码所有者都应该确保密码不被他人所知，一旦密码被他人获得，应及时更改密
码或者通知IT部处理。
5.9Active Directory的Administrator用户必须在改名后，由风控组系统管理员保管，
各系统管理员在日常工作使用各自的授权用户名。
6.0 相关表单
7.0附则
本办法由IT部拟定并负责解释，经EMT审批后下发实行。
8.0附件
无
信息系统帐号管理制度 第一节总则 第一条为加强用户帐号管理，规范公司信息系统用户帐号的使用，确保用户帐号的安全性，特制定本制度。 第二条本制度中系统帐号是指应用层面及系统层面（操作系统、数据库、防火墙及其它网络设备）的用户帐号。 第三条用户帐号申请、审批及设置由不同人员负责。 第四条系统拥有部门负责建立《岗位权限对照表》（附件六）。 第五条本制度适用于公司总部和各分、子公司（含郑州研究院）。 第二节普通帐号管理 第六条申请人使用统一而规范的《帐号/权限申请表》（附件七）提出用户帐号创建、修改、删除/禁用等申请。 第七条帐号申请人所属部门负责人及系统拥有部门负责人根据《岗位权限对照表》对应用层面的普通用户帐号申请进行审批。 第八条信息部负责人根据《岗位权限对照表》对系统层面的普通用户帐号申请进行审批。 第九条帐号管理人员建立各种帐号的文档记录，记录用户帐号的相关信息，并在帐号变动时同时更新此记录，具体内容见《用户帐号记录》（附 件八）。具体流程参见《普通帐号管理流程》（附件一）。 第三节特权帐号和超级用户帐号管理 第十条特权帐号指在系统中有专用权限的帐号，如备份帐号、权限管理帐号、系统维护帐号等。超级用户帐号指系统中最高权限帐号，如root 等管理员帐号。
号。 第十二条信息部每季度查看系统日志，监督特权帐号和超级用户帐号使用情况。 第十三条尽量避免特权帐号和超级用户帐号的临时使用，确需使用时必须履行正规的申请及审批流程，并保留相应的文档。 第十四条临时使用超级用户帐号必须有监督人员在场记录其工作内容。 第十五条超级用户帐号临时使用完毕后，帐号管理人员立即更改帐号密码。 具体流程参见《特权帐号和超级用户帐号管理流程》（附件二）。 第四节临时帐号管理 第十六条使用临时帐号时（如内外部审计人员、临时岗位调动人员），须填写统一的《帐号/权限申请表》（附件七）。 第十七条帐号申请人所属部门负责人及系统拥有部门负责人根据《岗位权限对照表》对应用层面的临时用户帐号申请进行审批。 第十八条信息部负责人根据《岗位权限对照表》对系统层面的临时用户帐号申请进行审批。 第十九条帐号管理人员负责临时帐号的建立和记录。 第二十条临时帐号使用完毕后，申请人及时通知帐号管理人员注销临时帐号。 具体流程参见《临时访问帐号管理流程》（附件三）。 第五节紧急帐号管理 第二十一条根据紧急事件的等级建立相应权限的紧急帐号，专门处理紧急事件。第二十二条帐号管理人员负责紧急帐号的下发和记录。 第二十三条紧急帐号使用人员必须在事件处理完毕后补办相关手续。 第二十四条紧急帐号使用完毕后，紧急帐号使用人员及时通知帐号管理人员禁
信息系统口令、密码和密钥管理 1范围 本标准规定了信息网网络安全管理人员的职责、管理内容和工作要求，以及信息系统口令、密码和密钥管理。 本标准适用于公司所有信息网络、应用系统及设备和用户所有层次的口令管理。 2规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款，凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。 1994国务院中华人民共和国计算机信息系统安全保护条例 国务院273号令商用密钥管理条例 1998国家保密局中华人民共和国计算机信息系统保密管理暂行规定 2000国家保密局中华人民共和国计算机信息系统国际联网保密管理规定2003公司网络与信息安全管理办法（试行） 2006公司信息网防病毒运行统计管理规范（试行） 2006公司信息网用户行为规范（试行） 3术语与定义 以下术语和定义适用于本标准。 3.1 信息系统
信息系统是用系统思想建立起来的，以电子计算机为基本信息处理手段，以现代通讯设备为基本传输工具，且能为管理决策提供信息服务的人机系统。即，信息系统是一个由人和计算机等组成的，能进行管理信息的收集、传输、存储、加工、维护和使用的系统。 3.2 密钥 密钥是一组信息编码，它参与密码的“运算”，并对密码的“运算”起特定的控制作用。密钥是密码技术中的重要组成部分。在密码系统中，密钥的生成、使用和管理至关重要。密钥通常是需要严格保护的，密钥的失控将导致密码系统失效。 4职责 4.1信息中心职责 4.1.2信息中心负责信息网系统的服务器、网络设备的口令、密码和密钥的设置和保管，指导相关部门设置应用系统的口令、密码和密钥；指导各用户设置开机口令。 4.2信息中心各专职职责 4.1.3网络安全管理员负责保管网络设备及相关安全防护设备(系统)的账号、口令的设置和更改。 4.1.4主机管理员负责主机、数据库系统的账号、口令的设置和更改。 4.1.5应用系统管理员负责应用系统的账号、口令的设置和更改。 4.1.6网络信息安全员负责管理和监督检查信息网络的安全工作，参加信息网系统事故调查、分析处理和信息网安全事故上报及督促现场安全措施落实，以及网络系统各类分析、统计报告的编制和上报工作。 5管理内容与要求 5.1主机与网络设备(含安全防护系统)口令、密码管理
信息系统口令密码和密钥 管理 The final edition was revised on December 14th, 2020.
信息系统口令、密码和密钥管理 1范围 本标准规定了信息网网络安全管理人员的职责、管理内容和工作要求，以及信息系统口令、密码和密钥管理。 本标准适用于公司所有信息网络、应用系统及设备和用户所有层次的口令管理。 2规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款，凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。 1994 国务院中华人民共和国计算机信息系统安全保护条例 国务院273号令商用密钥管理条例 1998 国家保密局中华人民共和国计算机信息系统保密管理暂行规定 2000 国家保密局中华人民共和国计算机信息系统国际联网保密管理规定2003 公司网络与信息安全管理办法（试行） 2006 公司信息网防病毒运行统计管理规范（试行） 2006 公司信息网用户行为规范（试行） 3术语与定义 以下术语和定义适用于本标准。 信息系统 信息系统是用系统思想建立起来的，以电子计算机为基本信息处理手段，以现代通讯设备为基本传输工具，且能为管理决策提供信息服务的人机系统。即，信息系统是一个由人和计算机等组成的，能进行管理信息的收集、传输、存储、加工、维护和使用的系统。 密钥 密钥是一组信息编码，它参与密码的“运算”，并对密码的“运算”起特定的控制作用。密钥是密码技术中的重要组成部分。在密码系统中，密钥的生成、使用和管理至关重要。密钥通常是需要严格保护的，密钥的失控将导致密码系统失效。4职责 信息中心职责 4.1.2 信息中心负责信息网系统的服务器、网络设备的口令、密码和密钥的设置和保管，指导相关部门设置应用系统的口令、密码和密钥；指导各用户设置开机口令。 信息中心各专职职责 4.1.3 网络安全管理员负责保管网络设备及相关安全防护设备(系统)的账号、口令的设置和更改。 4.1.4 主机管理员负责主机、数据库系统的账号、口令的设置和更改。 4.1.5 应用系统管理员负责应用系统的账号、口令的设置和更改。 4.1.6 网络信息安全员负责管理和监督检查信息网络的安全工作，参加信息网系统事故调查、分析处理和信息网安全事故上报及督促现场安全措施落实，以及网络系统各类分析、统计报告的编制和上报工作。
信息系统帐户密码管理规 定 This model paper was revised by the Standardization Office on December 10, 2020
信息 账 户、密码管理规定 1.目的： 为进一步加强与规范公司信息系统帐户、密码的管理，提高信息系统的安全性，避免 信息系统权限的滥用以及机密信息的泄漏，特制定本规定。 2.范围： 适用范围：本制度适用于国美电器有限公司信息系统平台上所使用的全部操作系统、应 用系统（包括但不限于邮件系统、OA系统、HR系统、NC系统、ERP系统等）以及各类网 络设备必须遵守本条例的规定。 发布范围：国美电器总部各中心、各大区所有人员。 3.名词解释： 信息系统帐户、密码：特指国美电器有限公司信息系统中所使用的各类用于系统身份识 别的账户及密码。 4.职责： 总部信息中心及分部IT部门： 总部信息中心负责规划和制定信息系统帐户、密码管理的相关流程和制度。 总部信息中心及分部IT部门负责信息系统帐户、密码的初始化生成。
总部信息中心信息安全部负责的制度的执行情况进行检查与监督。 其他部门及全体员工： 负责员工个人的系统帐户、密码的使用及管理，并对该帐户的所有行为负责。 5. 管理制度： 帐户、密码的管理： 信息管理中心信息安全部负责制定并管理信息系统账户密码管理制度、策略及具体落实。 信息系统账户、密码分为管理员账户、密码以及普通用户账户、密码两类。总部信息管理中心负责信息系统账户的命名、建立、分发以及初始密码的设置；信息管理中心信息安全部将负责对执行情况进行监督与复核。 总部信息管理中心授权各分公司、事业部系统部负责辖区内信息系统账户命名、建立以及分发工作，但必须遵守本条例的规定；总部信息管理中心信息安全部将进行不定期审计。 账户、密码的使用及维护： 网络设备、服务器设备以及应用系统的管理员账户（超级用户）由信息管理中心统一制定与分发，并授权相应的系统管理人员使用与维护，但必须遵守本条例的相关规定以及其他相关安全制度的要求，确保其安全性。 系统管理员账户（超级用户）的使用范围授权严格受限，所有系统中必须开启超级用户的使用日志审计功能。
信息系统密码管理规定 第一条为了加强风险管理,强化保密工作，提高公司信息系统得安全性，保障信息系统得正常运行以及业务 数据安全，防止黑客攻击与用户越权访问，防止 公司重要信息得丢失、泄漏与破坏,建立科学、规 范得信息系统密码管理规范,特制定本规定。 第二条本制度所指信息系统密码,包括以下几种类型： 1.公司所有业务系统普通用户密码（包括NC、即时通 讯、上网行为、邮箱、视频会议等业务登录密码）; 2.公司所有业务系统权限管理员与系统运维管理员密 码(包括业务系统、网站系统、邮箱系统、安全审计 系统、备份系统、虚拟化系统、防病毒安全系统、 视频会议系统、存储系统等后台管理密码）; 3.应用服务器管理密码（包括运行业务系统服务器、 网站服务器、邮件服务器、安全审计系统服务器、 备份系统服务器、虚拟化系统服务器、防病毒安全 系统服务器、存储设备等登录密码）； 4.系统数据库管理员密码; 5.其她网络应用及网络系统(路由器、交换机、上网行 为、ＶＰN等)管理员密码； 第三条应用系统服务器、数据库、网络系统，自身包含有完整得多级权限管理体系。这些系统得最高权限 分配得其她权限得密码,也需遵守本规定； 第四条公司业务系统普通用户得密码设置规范要求如下:
1.密码长度不得低于６位; 2.密码必须包含字母（a－z，A—Z）、数字（0-９）、 特殊字符(!#$%＾＆*)中得两种； 3.密码必须6个月更换一次,并且新密码不得与原密 码相同； 第五条对以下密码: 1.司所有业务系统权限管理员与系统运维管理员密 码； 2.应用服务器管理密码； 3.系统数据库管理员密码； 4.其她网络应用及网络系统管理员密码； 其设置规范,应符合以下要求： 1.密码不得低于8位； 2.密码必须包含大小写字母、数字及特殊符号； 3.密码必须每3个月更换一次，并且新密码不得与原 密码相同； 第六条信息系统密码设置规范得系统控制: 1.应用系统应控制密码得有效期，通过设置,强行要求 用户定期进行密码修改，减少密码被盗用得可能性； 2.用户密码唱得与编码规则限制。强行要求用户密码 符合长度与复杂性要求； 3.系统控制第一次登陆后必须马上更改初始密码； 4.设置用户密码输入错误次数.再密码错误输入三次 后，系统锁定登录用户。用火狐必须通知信息化部
电子认证服务密码管理规定 第一条 为了规范电子认证服务提供者使用密码的行为，根据《中华人民共和国电子签名法》、《商用密码管理条例》和相关法律、行政法 规的规定，制定本办法。 第二条 国家密码管理局对电子认证服务提供者使用密码的行为实施监督管理。省、自治区、直辖市密码管理机构依据本办法承担有关监督 管理工作。 第三条 提供电子认证服务，应当依据本办法申请《电子认证服务使用密码许可证》。 第四条 采用密码技术为社会公众提供第三方电子认证服务的系统(以下 称电子认证服务系统)使用商用密码。电子认证服务系统应当由具有 商用密码产品生产资质的单位承建。 第五条 电子认证服务系统的建设和运行应当符合《证书认证系统密码及其相关安全技术规范》。 第六条 电子认证服务系统所需密钥服务由国家密码管理局和省、自治区、直辖市密码管理机构规划的密钥管理系统提供。 第七条
申请《电子认证服务使用密码许可证》应当在电子认证服务系统建设完成后，向所在地的省、自治区、直辖市密码管理机构提交下列材料： (一)《电子认证服务使用密码许可证申请表》; (二)企业法人营业执照或者企业名称预先核准通知书的复印件; (三)电子认证服务系统安全性审查相关技术材料，包括建设工作总结报告、技术工作总结报告、安全性设计报告、安全管理策略和规范报告、用户手册和测试说明; (四)电子认证服务系统互联互通测试相关技术材料; (五)电子认证服务系统物理环境符合电磁屏蔽、消防安全有关要求的证明文件; (六)电子认证服务系统使用的信息安全产品符合有关法律规定的证明文件。 第八条 申请人提交的申请材料齐全并且符合规定形式的，省、自治区、直辖市密码管理机构应当受理并发给《受理通知书》;申请材料不齐全或者不符合规定形式的，省、自治区、直辖市密码管理机构应当当场或者在5个工作日内一次告知需要补正的全部内容。不予受理的，应当书面通知并说明理由。省、自治区、直辖市密码管理机构应当自受理申请之日起5个工作日内将全部申请材料报送国家密码管理局。 第九条 国家密码管理局对省、自治区、直辖市密码管理机构报送的材料进行核查，组织对电子认证服务系统进行安全性审查和互联互通测试，并自省、自治区、直辖市密码管理机构受理申请之日起15个工作日内，将安全性审查和互联互通测试所需时间书面通知申请人。电子认证服务系统通过安全性审查和互联互通测试的，由国家密码管理局发给《电子认证服务使用密码许可证》并予以公布;未通过安
信息系统、信息设备和保密设施设备管理制度 1.信息系统、信息设备和保密设施设备管理总则 1)为了加强公司涉密计算机信息系统、信息设备的保密管理，防止和杜绝失泄密事件的发生，确保国家秘密安全，根据《中华人民共和国保守国家秘密法》、《保密工作概论》、《保密法规汇编》等国家有关规定，结合公司实际，特制定本制度。 2)公司涉密计算机信息系统为单机涉密计算机信息系统，保密管理实行“控制源头、归口管理、逐级负责、确保安全”的原则。 3)本规定适用于使用公司涉密计算机信息系统的部门和个人。 4)本制度所称涉密计算机是指公司所属各部门按照本规定明确的程序，经过申报、登记、审定，并在公司保密办公室备案的计算机。信息系统是由计算机及其配套设备、设施构成，按照一定的应用目标和规则存储、处理、传输信息的系统或网络。信息设备是指计算机及其存储介质、打印机、传真机、复印机、扫描仪、照相机、摄像机等具有信息存储和处理功能的设备。 2.责任分工 1)公司技术部经理负责涉密信息系统、信息设备的保密安全管理工作。涉密信息系统、信息设备的使用部门指定专人负责本部门计算机信息系统安全保密管理，对本部门涉密信息系统的安全保密负主要责任。 2)公司保密办公室负责公司涉密信息系统、信息设备安全保密工作的指导、协调、监督、检查以及对失泄密事件的查处。 3)公司保密办公室设密钥管理员负责公司涉密信息系统、信息设备内部密码(密钥)的生成、分配和保密管理工作。 4)公司各涉密部门需设系统管理员、安全保密员，按有关保密规定和要求负责公司涉密计算机的管理及其设备的日常维护和维修工作，具体落实有关涉密计算机、信息设备的安全保密管理规定和措施。 3.涉密计算机的确定及变更 1)公司涉密计算机实行申报登记制度。凡涉及国家秘密的单位拟用于处理国家秘密信息的计算机、涉密信息系统必须经过申报、登记、审定，并在公司保密
账号权限及密码管理制度 一、账号权限管理 1.做好系统管理员、业务管理员的备案；同时做好系统用户备案管理。 2.业务管理员需定期检查相关系统的账号权限分配情况，确保落实权限最小 化原则。角色分配应与岗位需求吻合，避免功能扩大。同一账户被赋角色 不得存在功能互相矛盾、嵌套情况。严格控制隐私信息查询、浏览、导出 权限。 3.限制超级账号的使用，并做好相应的使用审计工作。 4.业务管理员应及时解除无用账号相应权限，系统管理员应定期检查并禁用 或注销无用账号。 二、密码产品 1.使用符合国家密码管理规定的密码技术和产品。 2.密码算法和密钥的使用符合国家密码管理规定。 三、密码的设置 1.服务器的密码，由安全管理员和系统管理员商议确定，必须两人同时在场 设定。 2.服务器的密码须安全管理员在场时要由系统管理员记录封存。 3.密码内容设置规则：必须由数字、字符和特殊字符组成；密码长度不能少 于8个字符；机密级计算机设置的密码长度不得少于10个字符；设置密 码时应尽量避开有规律、易破译的数字或字符组合作为自己的密码。 4.密码要定期更换:一般重要设备密码更换周期不得多于180天； 四、密码和口令的保存 1.服务器设置的用户密码由系统管理员自行保存，严禁将自用密码转告他人； 若工作需要必须转告，应请示上级领导批示；非系统管理员使用密码完成 工作后，系统管理员应该及时更改密码，保证密码安全。 2.服务器所有设置的用户密码须登记造册，由系统管理员管理保存，并将备 案记录交于网络管理中心负责人封存。 3.密码更换后系统管理员需将新密码或口令记录登记封存。 4.如发现密码有泄密迹象或黑客入侵，系统管理员要立刻报告网络管理中心 负责人，网络管理中心负责人应及时与系统管理员商定修改密码，并严查
信 息系统密码管 理规定 为了加强风险管理，强化保密工作，提高公司信息系统的安全性, 保障信息系统的正常运行以及业务数据安全，防止黑客攻击和用户 越权访问，防止公司重要信息的丢失、泄漏和破坏，建立科学、规 范的信息系统密码管理规范，特制定本规定。 员密码; 应用系统服务器、数据库、网络系统，自身包含有完整的多级权限 管理体系。这些系统的最高权限分配的其他权限的密码，也需遵守 本规定; 密码必须包含字母（a-z,A-Z ））数字（0-9 ）、特殊字符（！@#$%八& 中 的两种; 第一条 第二条 本制度所指信息系统密码，包括以下几种类型: 1. 公司所有业务系统普通用户密码（包括 NG 即时通讯、上网行为、邮 箱、视频会议等业务登录密码） 2. 公司所有业务系统权限管理员和系统运维管理员密码（包括业务系统、 网站系统、邮箱系统、安全审计系统、备份系统、虚拟化系统、防病毒 安全系统、视频会议系统、存储系统等后台管理密码） 3. 应用服务器管理密码（包括运行业务系统服务器、网站服务器、邮件服 务器、安全审计系统服务器、备份系统服务器、虚拟化系统服务器、防 病毒安全系统服务器、存储设备等登录密码） 4.系统数据库管理员密码; 5. 其他网络应用及网络系统（路由器、交换机、上网行为、 VPN 等）管理 第三条 第四条 公司业务系统普通用户的密码设置规范要求如下: 1. 密码长度不得低于6位; 2.
3.密码必须6个月更换一次，并且新密码不得与原密码相同; 第五条对以下密码: 1. 司所有业务系统权限管理员和系统运维管理员密码; 2. 应用服务器管理密码; 3. 系统数据库管理员密码; 4. 其他网络应用及网络系统管理员密码; 其设置规范，应符合以下要求: 1.密码不得低于8位; 2.密码必须包含大小写字母、数字及特殊符号; 3.密码必须每3个月更换一次，并且新密码不得与原密码相同; 第六条信息系统密码设置规范的系统控制: 1.应用系统应控制密码的有效期，通过设置，强行要求用户定期进行密码 修改，减少密码被盗用的可能性; 2.用户密码唱的和编码规则限制。强行要求用户密码符合长度和复杂性要 求; 3.系统控制第一次登陆后必须马上更改初始密码; 4.设置用户密码输入错误次数。再密码错误输入三次后，系统锁定登录用 户。用火狐必须通知信息化部门解除锁定。 第七条公司引进、购买或者自主幵发的所有业务系统，均按照本办法第六条的要求，完善密码管理功能模块。 第八条所有业务系统各类用户可自行修改密码。密码应妥善保管，不得公幵或告知他人。如果遗忘，应及时联系信息化相关管理人员重新设 置。 第九条信息系统服务器操作系统管理员、系统数据库管理员和公司网络服务器管理员密码应由不同人员分别掌控。
密码使用管理规定 Prepared on 22 November 2020
密码管理制度 一、目的 为确保本单位网络和信息系统的安全平稳运行，保障数据信息安全，特制订此管理制度。 二、适用范围 本制度适用本单位所有工作人员。 三、管理规定 1、本单位计算机登陆帐号、密码管理工作由技术部负责。 2、本管理制度所称的帐号、密码，是指登陆各应用系统、网络设备等各类 计算机软件、硬件系统的用户名和密码。 3、所有人必须提高安全认识，帐号和密码由用户自行保留，不得泄漏或转 借他人使用，不得借用他人帐号；不得利用帐号、密码从事破坏计算机软件系统、硬件系统的活动。 4、各类帐号的密码设置使用如下规则： 、密码字应超过8个字符； 、密码字应由字母和数字组成，重要帐号不要使用仅由字母或者数字组成的口令字； 、避免使用姓名、生日以及其他常用的密码； 5、对网络管理员、系统管理员和系统操作员所用密码需部门负责人在场时 由系统管理员记录封存，由技术部负责保存。
6、技术部有权力检查封存密码的有效性。检查时须由部门负责人启封，并由系统管理员登陆验证。 7、密码及口令要定期更换（视网络具体情况），口令更换周期不得长于三个月，更换后系统管理员要销毁原记录，将新密码或口令记录封存。 8、如发现密码及口令有泄密现象，系统管理员要立刻报告技术部负责人，同时要保护好现场并记录，需接到上级批示后再更换密码和口令。 9、遇到安全问题时，及时汇报上级领导，采取措施及时解决。 10、任何人不得利用各种网络设备或软件技术从事用户帐户及密码的侦听、盗用活动，该活动被认为是对网络用户权益的侵犯。 11、网络管理员、系统管理员、操作员调离岗位后一小时内由部门负责人监督检查更换新的密码； 12、侦听、盗用行为一经查实，将提请给予行政处分；行为恶劣、影响面大、造成重大损失的，依法交由公安部门处理。
信息 账 户、密码管理规定 1.目的： 为进一步加强与规范公司信息系统帐户、密码的管理，提高信息系统的安全性，避免 信息系统权限的滥用以及机密信息的泄漏，特制定本规定。 2.范围： 2.1适用范围：本制度适用于国美电器有限公司信息系统平台上所使用的全部操作系统、 应用系统（包括但不限于邮件系统、OA系统、HR系统、NC系统、ERP系统等）以及各类网 络设备必须遵守本条例的规定。 2.2发布范围：国美电器总部各中心、各大区所有人员。 3.名词解释： 3.1 信息系统帐户、密码：特指国美电器有限公司信息系统中所使用的各类用于系统身份 识别的账户及密码。 4.职责： 总部信息中心及分部IT部门： 4.1总部信息中心负责规划和制定信息系统帐户、密码管理的相关流程和制度。 4.2总部信息中心及分部IT部门负责信息系统帐户、密码的初始化生成。
4.3总部信息中心信息安全部负责的制度的执行情况进行检查与监督。 其他部门及全体员工： 4.4负责员工个人的系统帐户、密码的使用及管理，并对该帐户的所有行为负责。 5. 管理制度： 5.1帐户、密码的管理： 5.1.1 信息管理中心信息安全部负责制定并管理信息系统账户密码管理制度、策略及具体落实。 5.1.2 信息系统账户、密码分为管理员账户、密码以及普通用户账户、密码两类。总部信息管理中心负责信息系统账户的命名、建立、分发以及初始密码的设置；信息管理中心信息安全部将负责对执行情况进行监督与复核。 5.1.3 总部信息管理中心授权各分公司、事业部系统部负责辖区内信息系统账户命名、建立以及分发工作，但必须遵守本条例的规定；总部信息管理中心信息安全部将进行不定期审计。 5.2账户、密码的使用及维护： 5.2.1 网络设备、服务器设备以及应用系统的管理员账户（超级用户）由信息管理中心统一制定与分发，并授权相应的系统管理人员使用与维护，但必须遵守本条例的相关规定以及其他相关安全制度的要求，确保其安全性。 5.2.2 系统管理员账户（超级用户）的使用范围授权严格受限，所有系统中必须开启超级用户的使用日志审计功能。
XXXX公司 账号密码及权限管理制度 1总则 1.1 目的 为加强公司信息系统账号和密码管理，通过控制用户密码、权限，实现控制访问权限分配，防止对公司网络的非授权访问，特制订本管理办法。 1.2 范围 所有使用本公司网络信息系统的人员。 1.3 职责 公司所有使用信息系统的人员均需遵守本管理办法规定。行政部网络工程人员负责建立账号和密码管理的规范并推动执行、审核和检查落地执行情况。 1.4 术语和定义 内部网络：是指在本公司内部所有客户端等组成的局域网。包括但不限于OA 系统以及数据库系统等。 2控制内容 1.1 用户注册 ?新用户必须加入域，否则不允许入网。 ?域用户账号由网络管理员在该用户上岗使用公司网络系统前建立,命名 原则为职工工号。
?一自然人对应一个系统账号，以便将用户与其操作联系起来，使用户对 其操作行为负责。 ?用户因工作变更或离开公司时，管理员要及时取消或者锁定该用户所有 账号，对于无法锁定或者删除的用户账号采用更改密码等相应的措施规 避风险。 ?系统管理员应定期检查并取消多余的用户账号。 1.2 权限管理 ?行政部系统管理员负责分配新用户系统权限，负责审批用户权限变更申 请是否与信息安全策略相违背。 ?特权用户必须按授权程序通过系统等部门主管批准，才可给予相应的权 限。 ?系统管理员应保留所有特权用户的授权程序与记录。 ?权限设定要明细化，尽可能减少因拥有的权限化分较粗带来的不正当信 息访问或误操作等现象的发生。若某些权限无法细分，则需加强对用户 的单独监控。 ?只有工作需要的信息访问要求，才可授权。每个人分配的权限以完成本 岗位工作最低标准为准。 ?系统管理员对分配的所有权限记录进行维护。不符合授权程序，则不授 予权限。 ?对于本公司外的用户，需要访问本公司内部资源时，需要由用户的接待 者申请为其办理授审批程序。 1.3 密码的选择 密码的选择应参考以下规则：
1.0目的 为了确保网络安全运行，阻止黑客攻击或非法用户越权防问，防止敏感信息的丢失、泄漏或破坏，保证公司的利益。 2.0适用范围 本规范适用于公司所有应系统、网络设计以及网络终端的密码管理。 3.0定义 4.0职责 4.1 IT部：IT部负责本规范的制定和维护；IT负责本规范的执行与监督。 5.0规范内容 5.1每个系统管理员、维护人员或用户的帐号和密码必须是一一对应的。 5.2 密码最长期限：密码的有效期限根据系统特点在系统内设置，当密码的使用时间达到 或超过此期限时，系统会自动要求用户更改密码。用户应及时按提示更改密码，否则 系统会将用户账号锁定。 5.3强制密码历史：密码不应与原有密码相同，否则就失去了密码期限限制的作用。域用 户只有在更改过3次密码后，才能再次使用以前的密码,但不可使用IT部门交付的初 始密码 5.4 密码最小长度：密码最小长度为6位字符,系统管理员和系统维护人员的密码长度至少 为8位字符。 5.5密码复杂性要求密码至少应包括以下四种字符中的3种：
5.5.1大写英文字符 5.5.2小写英文字符 5.5.3阿拉伯数字 5.5.4特殊符号(如!/$/#/%等) 5.6用户密码不能包含用户名称中的3个或3个以上字符。 5.7以下情况发生后，帐号将被锁定: 5.7.1连续五次输入错误的密码后； 5.7.2超过密码最长期限仍未更改密码； 5.7.3计算机黑客攻击。 当出现用户账号被锁定的提示时，用户应联系IT部处理。 5.8 每个密码所有者都应该确保密码不被他人所知，一旦密码被他人获得，应及时更改密 码或者通知IT部处理。 5.9Active Directory的Administrator用户必须在改名后，由风控组系统管理员保管， 各系统管理员在日常工作使用各自的授权用户名。 6.0 相关表单 7.0附则 本办法由IT部拟定并负责解释，经EMT审批后下发实行。 8.0附件 无
( 安全管理 ) 单位：_________________________ 姓名：_________________________ 日期：_________________________ 精品文档 / Word文档 / 文字可改 信息系统权限管理制度(2020 年) Safety management is an important part of production management. Safety and production are in the implementation process
信息系统权限管理制度(2020年) 为了医院信息管理系统数据的安全管理，避免操作权限失控,并防止一些用户利用取得的权限进行不正确的操作，特制定医院信息管理系统权限管理制度，对各科室工作人员操作医院信息管理系统进行严格的管理，并按照各用户的身份对用户的访问权限进行严格的控制，保证我院信息管理系统的正常运转，特制定本管理制度。 一、总则 1.1用户帐号: 登录信息系统需要有用户帐号，相当于身份标识，用户帐号采用人员工号的编排，规则如下： （1）采用员工工号编排。 工号以人事部按顺序规定往后编排提供信息科。 1.2密码： 为保护信息安全而对用户帐号进行验证的唯一口令。
1.3权限： 指在信息系统中某一用户的访问级别和权利，包括所能够执行的操作及所能访问的数据。 二、职责与分工 2.1职能部门： (1)权限所有部门：负责某一个模块的权限管理和该模块的数据安全； a.财务处负责财务收费系统和部分资产系统权限； b.护理部负责病区护士管理系统权限； c.医务部负责医生工作站管理系统的权限； (2)负责指定一个部门权限负责人（建议为科室负责人），对涉及本部门负责权限的新增，变更，注销进行签字审批； (3)本部门人员申请本部门负责权限，需要部门权限负责人签批，签批后由系统管理员设置； 2.2单位权限负责人 (1)负责签批部门间的权限的授予；
公司计算机系统用户口令（密码）安全管理规定第一章总则第一条为加强公司计算机系统用户口令（密码）的安全管理，提高计算机系统用户口令（密码）安全管理规范化、制度化水平，完善信息安全管理体系，特制定本规定。 第二条公司、各下属子公司的计算机系统用户口令（密码）的安全管理适用本规定。 本规定不包括应用系统客户口令管理和用于保护文件共享等非登录计算机系统用户的口令管理。 第三条本规定所称计算机系统用户口令（密码）是指在登录计算机系统过程中，用于验证用户身份的字符串，以下简称计算机系统用户口令。 计算机系统用户口令主要为静态口令、动态口令等。 静态口令一般是指在一段时间内有效，需要用户记忆保管的口令。 动态口令一般是指根据动态机制生成的、一次有效的口令。 计算机系统用户口令主要包括： 主机系统（数据库系统）、网络设备、安全设备等系统用户口令；前端计算机系统用户口令；应用系统用户口令；桌面计算机系统用户口令。 第四条计算机系统用户口令的安全管理遵照统一规范、重在意识、技术控制与管理措施相结合的原则。 第五条计算机系统用户口令持有人应保证口令的保密性，不应将口令记录在未妥善保管的笔记本以及其他纸质介质中（密码信封除外），严禁将口令放置在办公桌面或贴在计算机机箱、终端屏幕上，同时严禁将计算机系统用户口令借给他人使用，任何情况下不应泄漏计算机系统用户口令，一旦发现或怀疑计算机系统用户口令泄漏，应立即更换。 第六条计算机系统用户口令必须加密存储计算机系统中，严禁在网络上明文传输计算机系统用户口令，在用户输入口令时，严禁在屏幕上显示口令明文，严禁计算机信息系统输出口令明文（密码信封除外）。 第七条计算机系统用户口令持有人应保证口令具有较高安全性。
信息系统密码管理规定
信息系统密码管理规定
信息系统密码管理规定 第一条为了加强风险管理，强化保密工作，提高公司信息系统的安全性，保障信息系统的正常运行以及业 务数据安全，防止黑客攻击和用户越权访问，防 止公司重要信息的丢失、泄漏和破坏，建立科学、 规范的信息系统密码管理规范，特制定本规定。第二条本制度所指信息系统密码，包括以下几种类型：1.公司所有业务系统普通用户密码（包括NC、即时通讯、 上网行为、邮箱、视频会议等业务登录密码）；2.公司所有业务系统权限管理员和系统运维管理员密码 （包括业务系统、网站系统、邮箱系统、安全审 计系统、备份系统、虚拟化系统、防病毒安全系 统、视频会议系统、存储系统等后台管理密码）； 3.应用服务器管理密码（包括运行业务系统服务器、网 站服务器、邮件服务器、安全审计系统服务器、 备份系统服务器、虚拟化系统服务器、防病毒安 全系统服务器、存储设备等登录密码）； 4.系统数据库管理员密码； 5.其他网络应用及网络系统（路由器、交换机、上网行 为、VPN等）管理员密码； 第三条应用系统服务器、数据库、网络系统，自身包含有完整的多级权限管理体系。这些系统的最高权限 分配的其他权限的密码，也需遵守本规定；
第四条公司业务系统普通用户的密码设置规范要求如下： 1.密码长度不得低于6位； 2.密码必须包含字母（a-z,A-Z）、数字（0-9）、特殊字 符（!@#$%^&*）中的两种； 3.密码必须6个月更换一次，并且新密码不得与原密码 相同； 第五条对以下密码： 1.司所有业务系统权限管理员和系统运维管理员密码； 2.应用服务器管理密码； 3.系统数据库管理员密码； 4.其他网络应用及网络系统管理员密码； 其设置规范，应符合以下要求： 1.密码不得低于8位； 2.密码必须包含大小写字母、数字及特殊符号； 3.密码必须每3个月更换一次，并且新密码不得与原密 码相同； 第六条信息系统密码设置规范的系统控制： 1.应用系统应控制密码的有效期，通过设置，强行要求 用户定期进行密码修改，减少密码被盗用的可能 性； 2.用户密码唱的和编码规则限制。强行要求用户密码符 合长度和复杂性要求； 3.系统控制第一次登陆后必须马上更改初始密码； 4.设置用户密码输入错误次数。再密码错误输入三次后，
信息系统密码管理办法 第一章总则 第一条密码是验证系统用户身份和权限的常用手段之一，被广泛用于计算机用户及服务权限的识别与认证，优质的密码有利于保障信息系统被合法使用。为有效控制医院信息科技风险，加固系统安全，防止未经授权的访问与操作，特制订本管理办法。 第二条信息系统用户被识别和认证的强度与其访问内容的敏感性和重要性相关。用户可访问和操作的事项越敏感、重要程度越高，则其受保护的强度也就越大。通常来说，系统级的用户比普通的访问用户的敏感性更高，对其密码的保护强度也越大。 第三条本管理办法适用于**县**医院管辖范围内的各类信息系统的密码设置管理。 第二章组织机构与职责 第四条信息系统管理部门包括：信息科和信息系统对口业务部门。信息科和对口业务部门在进行信息系统开发和维护时，应充分地考虑通过采用适当的密码策略使系统的各类合法用户的访问能够得到合理和适度的保障。 第五条对于**县**医院的各类信息系统密码设置管理，信息科应主导信息系统对口业务部门采用适当的密码策略，包括：
（一）在新信息系统开发阶段，必须依据系统访问控制的要求部署强有力的密码策略。 （二）在现行信息系统运营维护阶段，应依据密码安全管理基本要求完善密码管理及使用流程，同时可针对信息安全级别高的系统单独制定高于本策略要求的密码管理制度及规范，以保护医院各类信息资产的安全。 第三章信息系统密码设置及控制措施 第六条**县**医院信息系统用户包含内部用户和信息系统外部用户： （一）信息系统内部用户分为系统级用户和普通级用户，系统级用户是指信息科和信息系统对口业务部门的系统管理人员；普通级用户为**县**医院各信息系统的内部合法用户。 （二）信息系统外部用户为**县**医院对外提供的各类业务服务系统涉及密码设置和使用的合法客户。 第七条对于各类内部用户，信息系统管理部门在进行用户密码设置和管理时，应在系统中设定密码相关控制措施：（一）应强制内部用户使用优质密码，并使用监控工具检查密码的强度和长度是否合格：用户密码长度至少含有8个字符，应同时包括字母和非字母字符（数字或特殊字符等）。 （二）对于现行重要信息系统，因为信息系统自身限制导致密码强度和长度暂不能达到要求的情况，应在该重要信息系统进行变更或升级换代时满足密码强度和长度的要求，同时对于未能达到要求的事项信息科应予以记录并归档。
密码使用管理规定集团公司文件内部编码：（TTT-UUTT-MMYB-URTTY-ITTLTY-
密码管理制度 一、目的 为确保本单位网络和信息系统的安全平稳运行，保障数据信息安全，特制订此管理制度。 二、适用范围 本制度适用本单位所有工作人员。 三、管理规定 1、本单位计算机登陆帐号、密码管理工作由技术部负责。 2、本管理制度所称的帐号、密码，是指登陆各应用系统、网络设备等各类计算机软 件、硬件系统的用户名和密码。 3、所有人必须提高安全认识，帐号和密码由用户自行保留，不得泄漏或转借他人使 用，不得借用他人帐号；不得利用帐号、密码从事破坏计算机软件系统、硬件系统的活动。 4、各类帐号的密码设置使用如下规则： 4.1、密码字应超过8个字符； 4.2、密码字应由字母和数字组成，重要帐号不要使用仅由字母或者数字组成的口令 字； 4.3、避免使用姓名、生日以及其他常用的密码； 5、对网络管理员、系统管理员和系统操作员所用密码需部门负责人在场时由系统管 理员记录封存，由技术部负责保存。 6、技术部有权力检查封存密码的有效性。检查时须由部门负责人启封，并由系统管 理员登陆验证。
7、密码及口令要定期更换（视网络具体情况），口令更换周期不得长于三个月，更换后系统管理员要销毁原记录，将新密码或口令记录封存。 8、如发现密码及口令有泄密现象，系统管理员要立刻报告技术部负责人，同时要保护好现场并记录，需接到上级批示后再更换密码和口令。 9、遇到安全问题时，及时汇报上级领导，采取措施及时解决。 10、任何人不得利用各种网络设备或软件技术从事用户帐户及密码的侦听、盗用活动，该活动被认为是对网络用户权益的侵犯。 11、网络管理员、系统管理员、操作员调离岗位后一小时内由部门负责人监督检查更换新的密码； 12、侦听、盗用行为一经查实，将提请给予行政处分；行为恶劣、影响面大、造成重大损失的，依法交由公安部门处理。
ERP系统用户帐号与角色权限管理办法、目的 为加强集团ERP系统用户帐号和用户权限申请与审批的规范化管理, 确保ERP系统安 全、有序、稳定运行，特制定本管理办法。 二、适用范围 适用于XXX集团ERP系统（含CA系统）的账号申请和权限的管理。 三、名词解释 用户：被授权使用ERP系统或负责维护ERP系统的人员。 用户帐号：在ERP系统中设置与保存、用于授予用户合法登陆和使用ERP系统权限的用户信息，包括用户名、密码以及用户真实姓名、单位、联系方式等基本信息内容。权限：允许用户操作ERP系统中某功能点或功能点集合的权力范围。 角色：ERP系统中用于描述用户权限特征的权限类别名称。 四、管理原则统一管理原则：由集团运营管理中心统一管理用户账号申请和角色权限管理。实名制管理原 则：为保证ERP系统的运行安全和对用户提供跟踪服务，各业务系统用户 帐号的申请注册实行“实名制”管理方式。 安全保密原则：ERP系统账号和密码（含CA证书的密码）是ERP系统用户操作ERP系统的唯一身份验证。所有ERP用户均需要保守信息安全，不得泄露本人的账号、密码，不得打听、窃取他人的账号密码，否则由于用户账号密码泄露造成的损失，账号持有人要承担主要责任。 五、工作职责运营管理中心系统管理员：负责支持建立、取消用户的账号，根据角色分配用户账号的权 限。 六、用户帐号实名制注册管理：六、用户帐号申请、审批与注销 （一）帐号申请 1、任何一个用户帐号的申请与开通均必须经过统一制定的帐号申请与审批备案管理流程，且一个用户 在ERP系统中只能注册和被授予一个用户帐号。 2、业务系统的用户帐号及角色权限的申请开通、注销、密码初始化和帐号有效期续期等帐号管理工作 均使用统一制定的《用户帐号申请单》（附件1）办理。 3、《用户帐号申请单》包括三部分填写内容：（1）申请人情况；（2）帐号申请情况； 3）受理单位意见。其中（1）申请人情况和（2）帐号申请情况两部分由申请人填写，并加盖 申请人所在人力资源公章；（3）受理单位意见由受理单位填写。《用户帐号申请单》具体填 写要求见填表说明。 4、为保证ERP系统的运行安全和对用户提供跟踪服务，各业务系统用户帐号的申请注册实行“实名 制”管理方式，即在用户帐号申请注册时必须向集团运营管理中心提供用户真实姓名、隶属单位与 部门、联系方式、身份证号等真实信息。 5、用户帐号申请属网络注册的，只须在网络注册完毕后等待受理单位开通通知；如果是手填，加盖申
公司信息化系统用户权限管理制度 第一章总则 第一条为了规范公司信息化系统的权限管理工作，明确系统用户权限的管理职责，结合公司实际情况，特制定本制度。 第二条相关名词解释 信息化系统:公司ERP系统，炼钢生产管控系统、报表系统、在线质量判定系统、物资计量网、调度日报系统、能力计划系统、物资计量系统、热轧自动仓储、冷轧自动仓储、一卡通、OA、内网、文档管理、IT运行管理等系统。 权限：在信息化系统中用户所能够执行的操作及访问的数据。 第三条本制度的适用范围为公司各单位，其中派驻站、ERP权限变更按照其归属部门流程提报。 第二章职责分工 第四条运营改善部作为信息化系统用户权限的归口 管理部门，主要负责各系统内用户权限的命名、审批、上报、配置、监控、删除、通知和培训等管理工作。负责《公司信息化系统用户权限管理制度》的修订、培训、实施、检查。 第五条各相关部室和作业部负责指定本单位权限管理员和权限审批者参与权限管理工作，权限管理员负责本单位信息系统权限的收集、申请、下发、测试、反馈；权限审
批者负责本单位申请的系统权限进行审批把关，并对权限申请后形成的业务结果负责。 第六条系统用户负责本人权限测试、保管工作；负责权限密码泄密后的上报和密码更换工作；负责依据本人权限进行相应系统操作。 第三章系统用户权限管理 第七条用户权限的申请 业务部门根据实际业务，需要新建（变更）信息化系统用户的权限，由本部门权限管理员在公司IT运行管理系统中填报权限新增（变更）申请。 第八条用户权限的审批 信息系统用户权限新增（变更）申请在公司IT运行管理系统中由申请单位权限审批者进行审批。 第九条用户权限的系统实现 经公司IT运行管理系统申请的系统权限，由运营改善部权限管理员于收到权限申请后一个工作日内完成权限审批、配置、变更工作，对于审批通过的ERP权限申请，由运营改善部按照《R/3系统用户申请表》、《用户权限变更申请表》要求完成上报工作。 第十条用户权限的系统测试 申请单位权限管理员在接到权限配置完成的信息后，应及时通知相关用户，在两个工作日之内完成系统权限测试，存在问题的由权限管理员反馈运营改善部。申请单位权限管