下载文档原格式
账号⼝令管理办法账户⼝令管理办法⽬录第⼀章总则 (4)1.1概述 (4)1.2⽬标 (5)1.3范围 (5)1.4要求 (5)第⼆章帐号、⼝令和权限管理的级别 (7) 2.1关于级别 (7)2.2如何确定级别 (7)2.3⼝令、帐号和权限管理级别的定义 (7) 2.3.1等级1 –最低保障 (8)2.3.2等级2－低保障级别 (8)2.3.3等级3 –坚固保障级别 (9)2.3.4等级4 –最⾼保障等级 (9)第三章帐号管理 (11)3.1职责定义 (11)3.2⼝令应该以⽤户⾓⾊定义 (11)3.2.1系统管理员/超级⽤户 (11)3.2.2普通帐号 (11)3.2.3第三⽅⽤户帐号 (12)3.2.4安全审计员帐号 (12)3.2.5对于各类帐号的要求 (12)3.3帐号管理基本要求 (13)3.3.1保障等级⼀需要遵守的规范 (13) 3.3.2保障等级⼆需要遵守的规范 (13) 3.3.3保障等级三需要遵守的规范 (13) 3.3.4保障等级四需要遵守的规范 (14) 3.4帐号管理流程 (14)3.4.1创建⽤户帐号 (14)3.4.2变更⽤户 (17)3.4.3撤销⽤户 (19)3.4.4定期复审 (20)第四章⼝令管理 (21)4.1通⽤策略 (21)4.2⼝令指南 (21)4.2.1⼝令⽣成指南 (21)4.2.2⼝令保护指南 (22)第五章权限管理 (24)5.1概述 (24)5.2根据⼯作需要确定最⼩权限 (24)5.3建⽴基于⾓⾊的权限体系 (24)5.4审计⼈员权限的界定 (25)5.5第三⽅⼈员权限设定 (26)第⼀章总则1.1 概述随着XXXX公司业务系统的迅速发展，各种⽀撑系统和⽤户数量的不断增加，⽹络规模迅速扩⼤，信息安全问题愈见突出，现有的信息安全管理措施已不能满⾜xxx⽬前及未来业务发展的要求。
主要表现在以下⽅⾯：1.xxxx的信息系统中有⼤量的⽹络设备、主机系统和应⽤系统，分别属于不同的部门和不同的业务系统，并且由相应的系统管理员负责维护和管理。
中国联通内网账号口令安全管理办法（征求意见稿）目录第一章总则 (1)第二章适用范围 (1)第三章角色与职责 (1)第四章账号管理 (2)第五章口令管理 (4)第六章审批和修订 (7)第七章附则 (7)附件1 表格命名与编号方式样例 (8)附件2 XXXX系统用户账号权限审批表 (11)附件3XXXX系统用户账号登记表 (12)附件4XXXX系统用户账号核查表 (13)附件5XXXX系统账号口令修改记录表 (14)附件6XXXX系统账号口令检查记录表 (15)附件7XXXX系统程序账号列表 (16)第一章总则第一条为规范中国联通信息系统账号口令管理，确保内网信息系统安全稳定运行，有效防范因账号口令管理使用不当所造成的风险，特制定本管理办法。
第二条各级单位应认真执行本管理办法的相关要求，并根据实际工作需要结合本单位具体情况制定相应的实施细则或补充规定，切实做好信息系统账号、口令的安全管理工作。
第二章适用范围第三条本管理办法适用于中国联通集团总部、各直属单位、各省级分公司内网信息系统账号口令安全管理，公司各部门在涉及到内网信息系统账号口令安全管理时应遵照执行。
第四条本管理办法适用于内网网络设备、主机设备、内网终端、中间件、数据库、应用系统等信息系统的账号口令安全管理。
第三章角色与职责第五条中国联通内网账号口令安全管理办法由集团总部信息化事业部负责制订。
第六条各省内网信息系统账号口令安全管理的落实执行与检查监督，由各省级信息化事业部参照此办法执行。
第四章账号管理第七条账号权限分配遵循分级原则，根据账号权限、及管理其他账号的能力将信息系统账号分为超级账号、特殊功能账号与一般功能账号。
(一)超级账号：指可对信息系统所有配置进行查看、变更，有权限创建、修改、删除其他账号的系统账号。
包括系统安装时的默认账号，在使用过程中不能进行删除或改名且具备系统管理权限的账号，如：root、sys/system等，以及由系统管理人员建立的与系统默认超级管理员权限相当的系统管理账号。
系统账号管理办法文档信息第一章总则第一条目的：为保障企业信息化系统的安全、稳定运行,切实防范和降低因非法或不适当的对系统或数据的访问而带来的风险，加强对系统访问和权限分配的管理，根据相关规章制度,特制订本管理办法。
第二条本管理办法适用范围：第三条系统范围：支撑和企业信息化各系统，包括BOSS系统、以及支撑以上各系统的网络平台系统；第四条人员范围：对上述系统进行使用和开发维护的人员,包括各系统的最终用户、系统账号权限管理人员、提供系统集成、开发、维护、和技术支持服务的非本公司人员（第三方人员）。
第二章相关定义第五条账号是指每个可访问系统资源的用户在系统中的标识,可分为应用系统账号、操作系统账号和数据库账号等。
应用系统账号是指在应用系统中建立的用户标识,用户可以通过应用系统提供的前台操作界面进行登录，并使用授权的业务功能和访问授权的业务数据；操作系统账号是指在主机系统中建立的用户标识,用户可以登录主机设备和发出操作指令；数据库账号是指在数据库系统中建立的用户标识，用户可以登录数据库系统并访问其中的数据。
第六条访问权限是指账号被赋予的可以访问系统资源和使用系统功能的权利。
第七条账号管理员是指负责在系统中执行账号管理操作的人员,例如在系统中创建或撤销账号,分配或修改账号权限,定期提供系统中的账号和权限清单供审阅等。
第八条账号审批人员是指有权对账号和权限的管理操作进行审批和决策的人员，包括各部门负责人,业务负责人、安全管理员或经部门领导授权的人员等。
第九条系统管理员是指负责对系统进行维护和管理的人员，例如操作系统管理员，数据库管理员,账号管理员等。
第十条归档人是指负责执行文档资料归档保存操作的人员。
第三章职责分工第十一条BOSS系统使用部门内部应用账号和权限的审批和相关管理操作由各部门负责。
信息化部负责管理本部门应用系统维护人员的账号和权限,并执行对各使用部门应用账号管理员的账号和权限进行管理的相关操作.各需求部门负责明确应用系统新增功能的开放范围。
公司账号和口令管理办法第一章总则第一条随着XXXX公司(以下简称公司)信息系统建设的发展，内部员工在使用信息系统的过程中，使用了基于操作系统的账号、基于数据库的账号和基于应用系统的账号以保障系统的安全性。
大量账号的使用使得账号口令的管理复杂化，为了保证各系统的账号口令管理水平保持在一致的水平之上，特制定本办法。
第二条本办法规定了账号和口令管理的相关职责定义和管理措施，是公司内网账号和口令管理工作依据。
第三条本办法适用于公司、全资子公司及比照全资子公司管理的控股子公司（以下简称子公司）。
公司控股投资企业可参照执行。
第二章组织和职责第四条公司信息化管理部运行管理处指定专人负责登记备案账号及相应的用户权限。
第五条各个应用系统的负责人负责审核账号及用户权限变更的合法性。
第六条各个应用系统的负责人指定或委派专人负责增加、维护、整理及废除系统使用者的账号及相应的用户权限。
第七条个人计算机中的账号及用户权限定义由计算机的使用者进行维护与管理。
第三章账号管理办法第八条在使用和管理系统时，所有用户都应拥有个人专用的唯一标识符（用户 ID）。
不同的管理者必须使用不同的账号登录，并且只能在需要的时候转换为管理员身份进行所需的操作。
第九条除非由人事部门正式授权或要求，否则不允许将个人使用的账号及口令告知他人。
第十条系统中不允许有不明用途的账号存在，所有存在的账号必须有明确的文档（电子或纸制）说明其用途、使用者、添加时间、权限及其他信息。
所有操作系统应禁止使用无口令的用户账户。
第十一条系统的负责人至少每六个月对系统内无用及过期的账号进行废除或锁定（例如系统默认账号 user,guest,daemon, bin, sys, adm, lp, nobody 等），并将结果呈文上报至运行管理处。
第十二条用户账号授权应该满足最小授权和必需知道的原则。
最小授权原则指仅让用户能够访问其工作需要的信息，其他信息不能被该用户访问；必需知道原则指应该让用户有权限访问其工作中需要用到的信息。
2023年账户管理制度2023年账户管理制度1第一章总则第一条为加强用户账号管理，规范用户账号的使用，提高信息系统使用安全性，特制定本制度。
第二条本制度中系统账号是指应用层面及系统层面（操作系统、数据库系统、信息管理系统、防火墙及其它网络设备）的用户账号。
第三条本规定所指账号管理包括：1、应用层面用户账号的申请、审批、分配、删除/禁用等的管理2、系统层面用户账号的申请、审批、分配、删除/禁用等的管理3、用户账号密码的管理。
第四条系统拥有部门负责建立《岗位权限对照表》（附件一），制定工作岗位与系统权限的对应关系和互斥原则，对具体岗位做出具体的权限管理规定。
第五条信息管理中心根据系统拥有部门提交的《岗位权限对照表》增加系统岗位权限控制。
第六条用户账号申请、审批及设置由不同人员负责。
第七条各信息系统需设置超级管理员、系统管理员、系统管理监督员和普通用户。
超级管理员、系统管理员与系统管理监督员不能由同一人担任，并不能是系统操作用户。
1、超级管理员：负责按照领导审定的《信息系统权限申请表》（附件二）进入系统管理员的授权管理。
2、系统管理员：负责按照领导审定的授权进行录入，并对系统运行状况以及系统用户数据录入进行管理。
系统管理员应对录入的授权和系统运行状态建立台帐，定期向系统管理监督备案。
3、系统管理监督员：负责对录入的数据和授权进行监督，并建立用户权限台帐，定期对系统管理员录入的授权和系统运行状态以及用户录入数据进行监督检查。
4、普通用户：负责对系统进行业务层面的操作。
第八条信息管理中心将定期抽取系统岗位和用户清单进行检查，发现可疑授权、可疑使用将根据实际情况予以通报修正，并将检查结果记入信息化年度考核中。
第二章普通账号管理第九条申请人使用统一规范的《信息系统权限申请表》（附件二）提出用户账号创建、修改、禁用、启用等申请。
第十条账号申请人所属部门负责人及系统拥有部门负责人根据《岗位权限对照表》审核申请人所申请的权限是否与其岗位一致，确保权限分配的合理性、必要性和符合职责分工的要求。
XXX密码使用管理制度修订及复核记录目录目录 (3)第一章总则 (4)第二章人员及职责 (4)第三章安全管理要求 (4)3.1用户安全管理 (4)3.2账号安全管理 (5)3.3密码安全管理 (8)第四章密码分级定义 (9)第五章密码安全策略 (10)第六章相关记录 (11)第七章附则 (12)第一章总则第一条为了规范和加强电子政务云平台内的主机操作系统、网络设备、网络应用系统的帐号和密码安全管理，预防口令泄漏和身份假冒等带来的风险, 为主机操作系统、网络设备、网络应用系统为生成密码、保护密码以及变更密码等建立相应的策略；为数据的保护和加密建立相应的策略。
为保障XXX电子政务云平台稳定持续的运行,特制定本制度。
第二条各系统可以自行规定本系统的帐号和口令的管理细则，并针对本系统采取有关技术手段进行安全保障，但必须达到或高于本制度规定的级别。
第三条本管理规定根据《信息安全建设总体策略规定》制订。
第四条本管理办法适用于上海市XXX电子政务云平台内所有信息应用系统及附属设备；适用于需要帐号和密码进行业务操作的相关部门和人员；适用于因业务关系需要使用云平台系统的第三方服务商或者供应商；第五条本文档将依据信息技术和信息安全技术的不断发展和信息安全风险的演变及信息安全保护目标的不断变化而进行版本升级。
第二章人员及职责第六条上海市XXX主任负责监督此文档的落实。
第七条上海市XXX电子政务云平台的系统管理员负责制执行本管理规定的要求。
第三章安全管理要求第八条针对所有人员对电子政务云平台相关的帐户和密码的申请、使用和分配；针对帐户和密码的生命周期的管理；针对电子政务云平台内业务应用系统的帐户和密码的变更。
根据这些方面对帐户和密码的安全管理提出以下要求。
3.1用户安全管理第九条创立新的用户角色或对用户组或用户角色定义进行和修改时，应考虑不相容职责分工原则，由业务部门主管（或授权人员）对用户角色的权限设定进行审阅并签字确认，以确保在系统中分配给用户的权限与其职责相符。
单位口令管理制度第一章总则第一条为规范单位口令管理，保障单位信息安全，提高工作效率，根据国家相关法律法规，制定本管理制度。
第二条本管理制度适用于所有单位内部口令的管理工作，包括但不限于计算机登录口令、文件加密口令等。
第三条口令必须严格保密，不得向他人泄露，不得以书面、口头、电子等方式存储。
第四条口令应定期更换，口令长度、复杂度等应符合相关规定。
第五条口令管理负责人为单位的信息安全负责人，负责本单位口令管理工作。
第六条口令管理工作应当与网络安全工作相结合，相互协作、相互配合，做好口令的安全管理。
第七条口令管理应当采取多种手段，包括定期演练、培训等，提高员工对口令安全的意识。
第二章口令设置与变更第八条口令应当设置一定的位数，一般不少于八位，并且包含数字、字母和特殊字符，确保口令的复杂度。
第九条口令必须定期更换，一般不超过三个月一次，特殊情况下需要更换时，应当立即更换。
第十条在员工离职或者调动时，原口令应当立即更换，确保口令不被滥用。
第十一条口令的设置应当因应不同的系统、不同的权限设置而有所区别，权限高的口令应更为严格。
第十二条口令应当妥善保存，不得以明文形式保存，严禁在电脑上以文本文件等形式存储口令。
第三章口令使用与监控第十三条口令使用应当严格对应实际操作人员，不得借用他人口令，口令不得共享。
第十四条口令使用时应当注意周围环境的安全，确保在输入口令时不被他人观察到。
第十五条口令使用者应当对口令的安全负有责任，不得将口令泄漏给他人。
第十六条口令使用者应当遵守公司网络安全相关规定，不得恶意攻击系统、不得利用口令滥用权限。
第十七条口令使用情况应当进行记录和监控，对异常使用行为及时进行处理并报告相关负责人。
第十八条口令使用者应当接受相关安全教育和培训，提高对口令安全的认识和应对能力。
第四章口令管理责任第十九条口令管理责任人应当严格执行上级机构的相关规定，确保本单位口令的安全管理。
第二十条口令管理责任人应当制定本单位的口令管理制度和管理办法，并进行宣传和指导。
应用系统帐号管理办法V3.0目录第一章总则 (3)第二章人员职责 (3)第三章帐号管理 (4)第四章角色管理 (6)第五章权限管理 (7)第六章密码安全管理 (7)附录一工号权限变更申请表 (9)附录二系统管理员帐号审阅表 (11)附录三普通用户帐号核查表 (12).第一章总则第一条为规范（以下简称“”）应用系统帐号管理，保障应用系统的安全运行，特制订本管理办法。
第二条本管理办法为应用系统的用户帐号、角色、权限的使用、变更和审阅提供指导和规范。
第三条管理办法适用于应用系统管理员和其他操作使用人员，包括公司员工和第三方人员。
第四条本帐号管理办法每年复审一次，当业务流程发生重大变更时应根据需要及时进行修订。
第五条本管理办法的解释和修改权归属。
第二章人员职责第六条系统管理员：负责帐号系统的构建与维护，负责各级帐号权限角色配置功能的开发。
具有帐号管理权限，负责执行帐号和角色的新增、变更与取消操作；执行帐号和角色所拥有权限的新增、变更与取消操作；负责定期对帐号、角色和权限进行审阅。
需由公司员工担任。
第七条帐号审核员：协助科室经理进行本室人员帐号、角色、权限需求的审核；负责协助系统管理员开展对帐号、角色和权限的定期审阅工作，以及根据实际工作需要，协助设计基础角色权限。
各室可根据实际需要设置帐号审核员，也可不设置。
需由公司员工担任。
第八条帐号审批人员：审批帐号、角色和权限的新增、变更与取消申请；确认帐号、角色和权限定期审阅结果。
帐号审批人员通常由科室经理及以上人员担任。
第九条帐号申请人员：提出帐号新增、变更与取消申请；提出角色、权限新增、变更和取消申请。
第三章帐号管理第十条必须按个人创建单独的用户帐号，并赋予合适的权限，不允许存在共有帐号。
所有帐号必须明确责任人，责任人必须为自然人，不得以部门、单位等管理机构为责任人。
第十一条帐号的权限分配应当遵循“权限明确、职责分离、最小权限”的原则。
对用户授权应确保用户权限与其职责相符，不允许存在不兼容角色或权限。
信息系统口令、密码和密钥管理1范围本标准规定了信息网网络安全管理人员的职责、管理内容和工作要求，以及信息系统口令、密码和密钥管理。
本标准适用于公司所有信息网络、应用系统及设备和用户所有层次的口令管理。
2规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款，凡是注日期的引用文件，其随后所19941998200020032006200633.13.2密钥4职责4.14.1.2部门设置应用系统的口令、密码和密钥；指导各用户设置开机口令。
4.2信息中心各专职职责4.1.3网络安全管理员负责保管网络设备及相关安全防护设备(系统)的账号、口令的设置和更改。
4.1.4主机管理员负责主机、数据库系统的账号、口令的设置和更改。
4.1.5应用系统管理员负责应用系统的账号、口令的设置和更改。
4.1.6网络信息安全员负责管理和监督检查信息网络的安全工作，参加信息网系统事故调查、分析处理和信息网安全事故上报及督促现场安全措施落实，以及网络系统各类分析、统计报告的编制和上报工作。
5管理内容与要求5.1主机与网络设备(含安全防护系统)口令、密码管理5.1.1各类主机、网络设备应有明确的管理员负责管理，管理员负责其管辖范围的账号、口令的设置和更改。
5.1.2各类主机的超级用户口令和网络设备配置口令必须定期更换，更换周期不得超过1个月。
5.1.3各管理员应将口令用信封封存后交网络信息安全员统一保管，如遇管理员出差等情况需打开信封，必须征得信息中心主管同意后方可打开信封使用口令，管理员回来后及时更改口令并重新封存。
口令的保存、更改和开封启用均要有详细记录。
严禁私自启封。
5.1.4更换账号、口令后，必须立即提交新的密封件交网络信息安全员保管，并重新进行登记，旧的密封件当面销毁。
5.1.5不同权限人员应严格保管、保密各自职责的口令，严格限制使用范围，不得向非相关人员透露，原则上不允许多人共同使用一个帐户和口令。
系统管理员不得拥有数据库管理员（DBA）的权限；数据库管理员不得同时拥有系统管理员的权限；数据库管理员应为不同的不同应用系统的数据5.1.6证，户名、5.1.75.25.2.15.2.25.2.35.2.4借他人。
附件：天津市电力公司信息系统帐号、口令管理规定(试行)第一章总则第一条为了规范天津市电力公司信息系统中终端计算机、服务器、网络设备、应用与系统相关帐号、口令的建立、使用、维护，保证计算机安全和天津市电力公司信息系统正常有序的运行，特制定本管理规定。
第二条本规定适用于所有使用公司信息系统的用户，包括数据库系统管理员、业务系统管理员、网络管理员、业务系统的使用人员。
同样适用于天津市电力公司信息系统范围内所有使用个人计算机及网络的员工。
第二章术语解释第三条授权用户：●天津市电力公司内部人员：指天津市电力公司的在册职工；●非天津市电力公司内部人员：指临时到天津市电力公司工作，但非天津市电力公司正式员工的人员，包括但不限于开发商、集成商、供应商、顾问、合作人员、临时工、外聘人员、外包业务人员等。
第四条帐号●帐号∶指在系统内设定的可以访问本系统内部资源的ID或其他许可形式；●管理员帐号：指在系统中具有较大的权限，能对网络、应用、系统进行关键性设置权限的账号，典型用户为系统管理员；●超级管理员帐号：指对系统具有超级权限的帐号，包含但不限于UNIX的ROOT，WINNT的administrators组成员，数据库的DBA等用户；●公用帐号：指供一组人使用的帐号，其合法使用人限于一个组内；●匿名帐号：供不确定身份的人员使用的帐号。
第五条口令●口令：指系统为了认证帐号使用人的身份而要求使用人提供的证据，如在数据库系统的口令，办公自动化系统的帐号文件及帐号口令；●健壮口令：具有足够的长度和复杂度，难于被猜测的口令；●弱口令：仅由字母、单词、数字或其简单的组合，易于被猜测的口令。
第三章帐号的建立第六条系统要求●天津市电力公司信息系统所使用的计算机操作系统、业务系统、数据库、网络设备、应用软件等均需要支持基于帐号的访问控制功能；●所有需要使用口令的应用软件、业务系统都需要对口令文件提供妥善的保护。
第七条帐号申请原则●只有授权用户才可以申请帐号；●任何系统的帐号设立必须按照规定的相应流程规定进行，具体流程见“附录一：账号、口令建立、变更、取消流程”；●用户申请帐号前应该接受适当的培训，以确保能够正常的操作，避免对系统安全造成隐患；●帐号相应的权限应该以满足用户需要为原则，不得授予与用户职责无关的权限；●任何帐号必须是可以区分责任人，责任人必须细化到个人，不得以部门或个人组作为责任人。
账户口令管理办法目录第一章总则 (4)1.1概述 (4)1.2目标 (5)1.3范围 (5)1.4要求 (5)第二章帐号、口令和权限管理的级别 (7)2.1关于级别 (7)2.2如何确定级别 (7)2.3口令、帐号和权限管理级别的定义 (7)2.3.1等级1 –最低保障 (8)2.3.2等级2－低保障级别 (8)2.3.3等级3 –坚固保障级别 (9)2.3.4等级4 –最高保障等级 (9)第三章帐号管理 (11)3.1职责定义 (11)3.2口令应该以用户角色定义 (11)3.2.1系统管理员/超级用户 (11)3.2.2普通帐号 (11)3.2.3第三方用户帐号 (12)3.2.4安全审计员帐号 (12)3.2.5对于各类帐号的要求 (12)3.3帐号管理基本要求 (13)3.3.1保障等级一需要遵守的规范 (13)3.3.2保障等级二需要遵守的规范 (13)3.3.3保障等级三需要遵守的规范 (13)3.3.4保障等级四需要遵守的规范 (14)3.4帐号管理流程 (14)3.4.1创建用户帐号 (14)3.4.2变更用户 (17)3.4.3撤销用户 (19)3.4.4定期复审 (20)第四章口令管理 (21)4.1通用策略 (21)4.2口令指南 (21)4.2.1口令生成指南 (21)4.2.2口令保护指南 (22)第五章权限管理 (24)5.1概述 (24)5.2根据工作需要确定最小权限 (24)5.3建立基于角色的权限体系 (24)5.4审计人员权限的界定 (25)5.5第三方人员权限设定 (26)第一章总则1.1 概述随着XXXX公司业务系统的迅速发展，各种支撑系统和用户数量的不断增加，网络规模迅速扩大，信息安全问题愈见突出，现有的信息安全管理措施已不能满足xxx目前及未来业务发展的要求。
主要表现在以下方面：1.xxxx的信息系统中有大量的网络设备、主机系统和应用系统，分别属于不同的部门和不同的业务系统，并且由相应的系统管理员负责维护和管理。
所有系统具备不同的安全需求级别，目前没有一个统一的规范描述和区分这种级别，导致对口令、帐号和权限的管理处于较为混乱的状况。
2.由于存在大量的帐号和用户，人员的变化、岗位的变化和需求变化会导致帐号管理复杂度大大增加，必须有一套完整的帐号管理规范、流程，保证帐号的变化在可管理、可控制的范畴内。
3.弱口令被猜中后导致系统被入侵是系统被入侵的最主要原因之一，因此如何管理口令的生命周期，如何设置较强的口令成为当前一个重要的课题。
特别是snmp口令的缺省配置常常成为一个严重的问题。
这些问题有些可以通过集中认证、双要素认证等方式实现，但是最关键的还是应当通过建立规范和指南来实现。
4.即使有良好的帐号流程管理和控制，有正确的口令设置，仍然无法防止内部的滥用和误用，因为这些滥用和误用的前提通常是用户已经有了一个口令和帐号，因此，必须对用户的权限进行严格的管理和限制，特别是利用系统功能实现最小授权的原则。
5.由于各个系统存在的信任关系，整个系统一环套一环，一个被击破可能导致全线崩溃，因此必须保障整个系统达到一致的安全水平。
总之，随着业务系统和支撑系统的发展及内部用户的增加，必须有一套规范可以保障系统的帐号、口令和权限被合理地管理和控制，达到系统对认证、授权和审计的需求。
1.2 目标本管理办法的主要内容包括：●定义帐号、口令和权限管理的不同保障级别；●明确帐号管理的基本原则，描述帐号管理过程中的各种角色和组织职责，确定帐号管理的流程：包括帐号的申请、变更、注销和审计；●规定口令管理中的基本要求，例如口令变更频率，口令强度要求，不同类型帐号口令的要求，提供口令生成的指南；●确定权限分析和管理的基本原则和规范；●确定审计需要完成的各项工作；●给出流程中需要的各种表格。
1.3 范围●网络和业务系统范围适用范围包括CMNET、网管、MDCN、BOSS、OA/MIS等西藏电信全网所有计算机信息系统和IP网络。
●帐号、口令和权限管理包括不同的层次范围帐号、口令和权限管理涉及网络设备、主机系统、数据库、中间件和应用软件。
1.4 要求●本规范制定了适合西藏电信的基本准则和级别划分规则，全公司应该遵照第二章的级别划分要求对所有主机、数据和应用系统进行评估和级别划分，并针对每一级别，遵循第三、四、五章的要求，明确哪些适合于哪些系统。
●评估报告的内容应该包括：⏹所有主机资产列表⏹每台主机/服务器/数据库/应用系统需要的帐号、口令和权限保障级别和原因，主要评估方法是根据第二章中每一级别的特征逐条比较，选择最为接近的级别⏹根据第三、四五章的要求，明确每一级别需要遵守的规范细节●评估过程和方法应该透明，评估报告随评估结果和相关策略一并提交网络与信息安全办公室。
第二章账户、口令和权限管理的级别2.1 关于级别为了实现xxx所有IT信息系统的正常安全运行，我们在这里定义四个口令、帐号和权限管理的保障级别，这些级别确认不同系统对帐号管理的不同需要，不同级别的系统和设备需要不同级别的口令、帐号和权限管理的技术、管理制度和管理流程。
通常来说，价值较低的系统被定义为需要较低的保障级别，价值较高的系统被定义为需要较高的保障级别。
2.2 如何确定级别第一步：对各系统进行一次风险评估，风险评估的结果能够确定系统需要口令、帐号管理权限的保障级别并揭示由于不恰当的口令、帐号和权限管理给西藏电信和我们的客户所带来的危害和后果。
由于不恰当的口令、帐号和权限管理给西藏电信和我们的客户所带来的危害和后果越严重，需要的安全措施越高，相应地需要的保障级别也越高。
风险评估还应遵照本规范揭示相应的应用系统需要采取何种帐号、口令和权限措施，这些措施应该包括技术措施和管理措施。
第二步：匹配风险评估揭示的风险和口令、帐号和权限需要的保障级别。
风险评估的结果应该被总结并得出结论，最终结论与下一节定义的各种级别进行比较，选择最为接近的级别作为该资产或者系统需要的口令、帐号和权限保障级别。
当进行确认的时候，应当按照系统没有任何安全措施的情况来进行评估和比较，而不应当在假设某个系统已经使用了某个保障技术的情况下进行比较。
另外对于一个系统的保障应该按照该系统可能受到的所有危害的最高级别来匹配保障级别。
第三步：确定使用何种口令、帐号和权限管理、技术措施，具体的结论应该以规范制度的形式加以规定。
请注意，由于某些技术本身可能带来一些额外风险，应该确认该技术是否真的达到应用系统对应等级的需求，评估残余风险。
2.3 口令、账户和权限管理级别的定义本节定义口令、帐号和权限管理需求的四个级别，我们将给出每个级别的特征和相关的例子，级别分成1～4，数字越大表示需要的帐号、口令和权限管理保障信心等级越高。
2.3.1等级1 –最低保障描述在第一等级保障的情况下，只有基本的甚至没有保障措施用于电子系统的帐号，等级一的情况下，错误的口令、帐号和权限管理可能导致：●给电信、客户或者第三方带来最小的不便●不会给电信、客户或者第三方带来直接的经济损失●不会给电信、客户或者第三方带来不快●不会给电信、客户或者第三方带来名誉或者地位的损失●不会破坏电信、客户或者第三方需要执行的商业措施或者交易●不会导致民事或者刑事犯罪●不会向未经授权的组织或个人暴露个人、电信、政府、商业的敏感信息举例：●一个公司的内部交流论坛，不用于任何工作目标，可以自行注册帐号并发言，尽管帐号的泄漏会带来一些不便和伪冒，但是由于不用于工作目的，因此不会造成大的损失。
●未验收和未投入使用的系统，工程过程中的系统（假设没有涉及知识产权，例如软件代码泄密的问题的情况下）2.3.2等级2－低保障级别描述通过常用的措施即可保护系统的可信认证，必须充分考虑代价和认证安全性的平衡。
这种等级的认证被误用或者破坏可能导致：●给电信、客户或者第三方带来较小的不便●给电信、客户或者第三方带来较小直接的经济损失或者没有直接经济损失●会给电信、客户或者第三方带来较小的不快●会给电信、客户或者第三方带来较小名誉或者地位的损失●存在一定的风险，可能破坏电信、客户或者第三方需要执行的商业措施或者交易●不会导致民事或者刑事犯罪●存在一定风险，可能少量向未经授权的组织或个人暴露个人、电信、政府、商业的敏感信息举例：●一台常用办公电脑，该电脑上没有存储任何机密文件，他的帐号被窃取可能导致公司常用信息例如通讯录被泄漏。
●一个有查询系统的帐号，用户可以通过Internet注册来查询自己的帐单。
该帐号失窃可能导致用户信息的泄漏。
2.3.3等级3 –坚固保障级别描述通常等级三意味着正式的业务流程使用的帐号，通常需要较高信心来保证身份的认证和正确的授权，这种等级的认证被误用或者破坏可能导致：●给电信、客户或者第三方带来较大的不便●给电信、客户或者第三方带来较大直接的经济损失或者没有直接经济损失●会给电信、客户或者第三方带来较大的不快●会给电信、客户或者第三方带来较大名誉或者地位的损失●存在较大的风险，会破坏电信、客户或者第三方需要执行的商业措施或者交易●会导致民事或者刑事犯罪●存在较大风险，可能大量向未经授权的组织或个人暴露个人、电信、政府、商业的敏感信息举例：●一般的主机操作系统、数据库、和路由器的高权限帐号，例如root、administrator、dba等。
●业务系统的关键管理帐号，可以读写重要的用户信息、业务信息和帐单信息。
2.3.4等级4 –最高保障等级描述等级四的保障通常对应需要非常大的信心保障的系统这种等级的认证被误用或者破坏可能导致：●给所有电信、客户或者第三方带来巨大的不便●给电信、客户或者第三方带来极大直接的经济损失或者没有直接经济损失●会给电信、客户或者第三方带来极大的不快●会给电信、客户或者第三方带来巨大名誉或者地位的损失●破坏电信、客户或者第三方需要执行的商业措施或者交易●会导致民事或者刑事犯罪●大量向未经授权的组织或个人暴露个人、电信、政府、商业的敏感信息举例：●关键系统，例如计费系统数据库主机的操作系统和数据库。
●用于存储公司最高商业机密或密级为绝密的系统的认证。
第三章账号管理3.1 职责定义●员工所在班组：负责发起员工帐号的创建、变更和撤消申请；●员工所在部门系统管理员：负责维护和管理业务系统，对业务系统负全责，具体负责帐号的具体生成、变更和删除，并进行定期审计；●员工所在部门安全管理人员：负责审批、登记备案用户权限。
3.2 账号应该以用户角色定义电信的帐号应基于统一的角色进行管理。
帐号的角色可以从电信业务角度分或从IT管理角度分。
如果从IT管理角度可以分为以下部分。
3.2.1系统管理员/超级用户系统管理员和超级用户是有权限对系统的配置、系统最核心信息进行变更帐号的角色，通常每个系统至少具有一个或者一组该类帐号，该类帐号的管理应该最为严格，因为这些帐号可以对系统产生重大影响。
