运维中心帐号和口令管理规范.doc

第 1 页 帐号和口令管理规范帐号和口令管理规范 第 1 页 目目 录录 1目的目的 2 2适用范围适用范围 2 3职责及权限职责及权限 2 4术语和定义术语和定义 2 5帐号的注册帐号的注册 2 6域帐号的命名规范域帐号的命名规范 3 7口令选取规范口令选取规范 3 8口令管理规范口令管理规范 3 9相关文件相关文件 4 10相关记录相关记录 4 第 2 页 1 1目的目的 明确个人帐户 口令及权限安全责任 规定个人帐户安全管理涉及的内容和要求 最 大程度上消除个人信息的安全隐患 从而避免因个人帐户 口令和权限的安全漏洞带给整 个企业网络环境中的信息系统更高的安全风险 本规范涉及帐号的注册 域帐号命名规范 口令选取规范 口令管理规范 无人值守 用户设备及共享管理和权限等方面的内容 遵循这些专门的管理规范中的要求 针对个人 不同系统帐号的特点进行更加细致的规定 2 2适用范围适用范围 1 本规范适用于运维中心所有员工 2 本规范应当向适用范围内的所有运维中心员工发布 3 3职责职责及权限及权限 1 外包事业部 负责信息安全规范文档的审批 包括修改的审批 2 运维中心 负责维护公司所有个人帐号的开通及安全管理与审核 4 4术语和定义术语和定义 管理员是指对系统 网络或者应用拥有超级权限的人员 包含但不限于系统管理员 网络管理员 数据库管理员以及应用管理员 5 5帐号的注册帐号的注册 1 只有授权用户才可以申请系统账号 账号相应的权限应该以满足用户需要为原则 不得有与用户职责无关的权限 2 一人一账号 以便将用户与其操作联系起来 使用户对其操作负责 3 用户必须签署声明 表示他们知晓访问的条件 4 管理员必须维护对注册使用服务的所有用户的正式记录 第 3 页 5 用户因工作变更或离开公司时 管理员要及时取消或者锁定其所有账号 对于无 法锁定或者删除的用户账号采用更改口令等相应的措施规避该风险 6 管理员应定期检查并取消多余的用户账号 6 6域帐号的命名规范域帐号的命名规范 1 所有员工域帐号与其他办公系统帐号相同 格式都为 姓的拼音 名字拼音 2 如出现姓和名拼音相同的情况则在后入职员工的的名字拼音后后加 a b 等字母 7 7口令选取规范口令选取规范 1 用户应该有意识地选择强壮的口令 即难以破解和猜测的口令 不要使用弱口令 2 不允许使用弱口令 如 a 口令长度小于 6 个字符 b 口令是可以在字典中查找到的单词 c 使用了以下常见的口令 家人名字 朋友名字 同事名字等等 计算机名字 术语 公司名字 地名 硬件或软件名称 生日 个人信息 家庭地址 电话 某种模式的 例如 aaabbb asdfgh 123456 123321 等等 任何上面一种方式倒过来写 任何上面一种方式带了一个数字 3 推荐的强壮口令 a 按公司规定一个合格的密码必须包含 大写和小写字符 字母 数字 和特殊符号 四项中的三项 特殊符号如下 b 口令长充为 8 个字符以上 c 不是英文字典上的单词 词组或者中文字 词的汉语拼音 d 不基于个人信息 名字和家庭信息 第 4 页 8 8口令管理规范口令管理规范 1 初始口令在创建用户时设定 初次登录时 操作系统或者管理员必须强制用户修 改口令 不能使用缺省设置的口令 2 用户应保证口令安全 不得向其他任何人泄漏 即使是出差或休假时 也不应将 自己口令告诉他人 3 个人计算机至少 3 个月更改一次口令 4 应避免在纸上记录口令 或以明文方式记录计算机内 5 一旦有迹象表明系统或口令可能遭到破坏时 应立即更改 6 禁止系统的自动登录和口令记忆功能 7 口令不能在电子邮件或其他电子方式下以明文传送 8 当要登录的软件系统提供软键盘时 尽量使用软键盘输入口令 以防止键盘记录 软件 木马 的恶意记录 9 不使用非经授权 许可的口令记录软件和键盘记录软件等 10 如忘记个人密口令需经批准后由管理员重置口令后方可使用 11 用户应保证自己不相关联的各个系