《ISMS~2010信息系统访问管理程序》由会员分享，可在线阅读，更多相关《ISMS~2010信息系统访问管理程序（6页珍藏版）》请在金锄头文库上搜索。
1、 市首品精细模型ISMS信息系统访问管理程序文件编号:ISMS-2010编 制审 核批 准变更履历序号版本编号或更改记录编号简要说明(变更容、变更位置、变更原因和变更围)变更日期变更人审核人批准人批准日期1A/0初始发行-2016-8-51 目的为规信息部对各系统的访问控制，预防对系统的未授权的访问特制定此文件。2 围本程序适用于IT核心系统及外围系统的维护、登录与管理。3 相关文件?口令管理规定?4 职责4.1 机房管理员负责中心机房的维护、运行及管理。4.2 信息部其他人员配合机房管理员的工作。5 程序5.1 各系统平安登录程序5.1.1 由机房管理员对登录程序应进展检查确保登录程序满足如
2、下要求：a不显示系统或应用标识符，直到登录过程已成功完成为止；b在登录过程中，不提供对未授权用户有帮助作用的帮助消息；c仅在所有输入数据完成时才验证登录信息。如果出现过失情况，系统不应指出数据的哪一局部是正确的或不正确的；d限制所允许的不成功登陆尝试的次数推荐3次并考虑：1使用策略或其他手段记录不成功的尝试；2在允许进一步登录尝试之前，强加一次延迟，或在没有特定授权情况下拒绝任何进一步的尝试；3断开数据链路；4如果到达登录的最大尝试次数，向系统控制台或向机房管理员发送警报消息；5结合口令的最小长度和被保护系统的价值风险评估的结果或部存储信息的价值设置口令重试的次数；e限制登录程序所允许的最大和
3、最小次数。如果超时，那么系统应终止登录；f在成功登陆完成时，显示以下信息：1前一次成功登陆的日期和时间；2上次成功登陆之后的任何不成功登陆尝试的细节；g不显示输入的口令或考虑通过符号隐蔽口令字符；h不再网络上以明文传输口令。降低口令被网络上的网络“嗅探器捕获的可能。5.1.2 登录程序满足上述要求后，任何核心系统或外围系统的登录操作应被相关负责人授权方可进展登录。5.1.3 相关职能人员得到授权后，对核心系统或外围系统操作完毕后必须将系统至于登录状态或注销当前用户将系统至于登录状态，防止未授权访问发生的可能。5.1.4 其他部门人员因业务需要，需登录信息部核心系统或外围系统时，必须由中心机房管
4、理人员全程陪同。5.2 用户身份标识和鉴别5.2.1 信息部应确保所有业务人员在登录核心系统或外围系统时每名业务人员应有唯一的、专供个人使用的用户ID及口令。5.2.2 机房管理员对中心机房各系统建立用户ID身份鉴别策略，以确保用户ID的任何活动都可以追踪到各个责任人。常规业务操作不可以使用有特殊权限的账户执行。5.2.3 如在特定时间机房管理员需平凡操作或登录核心系统或外围系统，那么可由机房管理员提出?外部公司机房特殊业务工作单?由信息部总经理审批，审批通过后再特定时间机房管理员可以随时访问核心系统或外围系统，访问期间必须留有系统的日志审核记录以便事后查阅。5.2.4 机房管理员应管理核心系
5、统及外围系统的访问权限，确保普通ID或特定ID只有其工作围的权限如：普通ID只有对系统的只读权限，特定ID只具有在特定目录下有访问权限其他目录均无权限依照?口令管理规定?对权限形成记录并定期进展检查。5.2.5 进入中心机房或前置机房或备份机房时需使用指纹方可进入，不经相关负责人授权任何人不得以任何理由使用自己的指纹替他人开启以上区域。5.3 口令管理5.3.1 在登录核心系统或外围系统时，必须使用自己的用户ID及口令，确保身份的可核查。5.3.2 信息部员工需要登录核心系统或外围系统需要提交?系统访问授权书?，如果是第一次登陆且没有用户ID及密码那么按照?口令管理规定?进展用户ID的申请，由
6、机房管理员根据申请添加用户ID及默认密码并且设置密码历史记录推荐记录3次，用户在第一次登陆后必须对密码进展更改，否那么由机房管理员强行收回用户ID。5.3.3 口令必须是由数字、字幕、符号，长度7位组成并且不可以使用例如：生日、等易于猜解的密码。5.3.4 口令的存放可查看?口令管理规定?5.4 系统实用工具的使用5.4.1 系统实用工具是指可能超越系统和应用程序控制措施的实用工具。5.4.2 网络管理员应对信息部所有的软件进展整理并形成?软件验收保管登记台账?由网络管理员对?软件验收保管登记台账?进展标识，将系统实用工具与应用程序分开。5.4.3 由网络管理员定期每周将使用系统实用工具的用户
7、进展重新评审，确保用户权限限制到最小实际用户数并且保证其是可信的、已被授权的。5.4.4 由网络管理员对系统实用工具进展控制并保存所有操作日志。5.4.5 如有新的系统实用工具的添加或在特定系统的平安，必须由该区域副总经理授权审批?系统实用工具安装审批?通过后，方可由网络管理员进展安装及调试。5.4.6 信息部所有信息处理设施，由网络管理员协助各业务人员移除或禁用基于实用工具和系统软件的所有不必要软件。5.4.7 当涉及到职责分割时应确保访问系统中应用程序的用户只可以访问应用程序。而可以访问系统实用工具的用户只可以访问系统实用工具。5.5 登录会话限制5.5.1 应由网络管理员对核心系统及外围系统进展设置，确保可以将不活动会话在15分钟后自动断开或注销。6相关文件?记录控制程序?7相关记录记录名称保存部门保存期限?系统实用工具安装审批?信息部3年?软件验收保管登记台账?信息部3年?外部公司机房特殊业务工作单?信息部3年 /
