XX-2-COM-访问控制安全管理办法

第3页共12页文档编号XX_2_COM_访问控制安全管理办法版本号V1.1密级内部公开访问控制安全管理办法XXX信息技术有限公司

文档信息发布版本：V1.0最后发布时间：XXX编写人：XX审核人：XX版本控制编号修订人修订时间版本号修订内容说明123

目录第一章 总则 4第二章 访问控制的业务要求 4第三章 用户访问管理及职责 5第四章 网络访问控制 8第五章 操作系统访问控制 9第六章 应用和信息访问控制 10第七章 移动办公安全 11第八章 附则 12第8页共12页总则为保障XXX信息技术有限公司（以下简称“XXX”）的信息系统访问控制安全，保障信息系统访问控制的业务需求，明确用户职责及对网络、操作系统和应用系统及数据的访问控制要求，特制定本文件。访问控制的业务要求需在业务要求和安全要求的基础上建立信息、信息处理设施和业务过程的访问控制。访问控制策略应建立、形成文件，并基于业务和访问的安全要求进行评审。访问控制策略需依据XXX需求考虑如下（但不仅限于）内容：制定信息授权的策略，及访问权限的管理策略；规定每个用户或每组用户的访问控制规则和权力；考虑各业务应用的安全要求；标识业务应用相关的信息，识别信息面临的风险；兼顾不同系统和网络的访问控制策略间的一致性；遵守保护访问信息或服务的相关法律和合同义务；访问控制角色的分离，例如访问请求、访问授权、访问管理；考虑访问控制的定期评审要求。对重要信息的访问及操作，系统保留日志或记录，并由相关负责人定期审阅，保证访问控制及操作的合法、合理性。用户访问管理及职责需严格进行用户访问管理，明确用户职责，确保授权用户访问信息系统，并防止未授权的访问。需制定正式的用户注册及注销程序来授权和撤销对所有信息系统及服务的访问。可依据XXX需求考虑下列（但不仅限于）内容：使用唯一用户ID，使用户对其行为负责；检查使用信息系统或服务的用户是否已适当授权；检查所授予的访问级别是否与业务要求相符，是否与XXX信息安全策略一致；确保已经完成授权程序，用户才可访问；记录并维护所有注册使用各服务的人员权限列表；在用户离职或转岗时，需立即变更或撤销用户访问权限；定期检查并锁定或撤销多余的用户帐号。需限制和控制特殊权限的分配及使用，通过正式的授权过程使特殊权限的分配受到控制，可依据需求考虑如下（但不仅限于）内容：标识出每个系统的特权账户，及其相关访问权限；需按照访问控制策略，并依据“最小授权”原则给特权账户分配权限；维护特权账户的授权过程及其记录；特权账户的用户ID管理需与普通用户ID管理相区别。需进行用户口令管理，通过正式的管理过程控制口令的分配和使用，可依据XXX需求考虑如下（但不仅限于）内容：用户签署声明，以保证用户口令的保密性；初始时提供给用户临时口令，以安全的方式将临时口令给予用户，并强制其登陆立即更改；用户更改口令前，需验证用户身份；用户口令不应以未保护的形式存储在计算机系统内；应在系统或软件安装后改变默认口令。需定期对用户的访问权限进行复查，可依据XXX需求考虑下列（但不仅限于）内容：定期或任何变更之后，对用户的访问权限进行复查；对于特权账户的授权，需更频繁的进行复查，如周期为3个月。需明确用户口令使用职责，使用户遵循良好的安全习惯，详见《用户帐户及权限安全管理规范》。可依据XXX需求对用户进行如下（但不仅限于）要求：避免保留口令的记录，除非可以对其进行安全地存储；每当有任何迹象表明系统或口令受到损害时就变更口令；选择长度适当的优质口令；定期变更口令（特权账户的口令应比常规口令更频繁地予以变更），并且避免重新使用旧的口令或周期性使用旧的口令；在初次登录时更换临时口令；个人的用户口令不要共享；不在业务系统和非业系统中使用相同的口令。用户应遵守清空桌面、可移动存储介质和清空信息处理设施屏幕的策略。制定策略时可依据XXX需求考虑如下（但不仅限于）内容：用户离开办公室时，应将敏感或关键业务信息上锁，如在纸质或电子存储介质中的信息，理想情况下，可放在保险柜或其他形式的安全设备中；对于计算机和终端，当无人值守时，应注销或使用屏幕和键盘锁定机制进行保护；当不使用时，应使用带钥匙的锁、口令或其他控制措施进行保护；保护邮件收发处和无人值守的传真机；包含敏感或机密信息的文件应立即从打印机中清除。网络访问控制需制定网络访问控制策略，防止对网络服务的未授权访问，并维护和更新用户的网络访问权限，需明确如下（但不仅限于）内容：允许被访问的网络和网络服务；确定允许哪个人访问哪些网络和网络服务的授权程序；保护访问网络连接和网络服务的管理控制措施；访问网络和网络服务的途径。除VPN外，禁止使用其他方式进行远程访问，以控制远程用户的访问。非日常工作使用及系统维护需要，禁止其他人员开启远程访问功能。如其他原因起开启远程访问后，使用后及时关闭远程访问功能，防止非授权访问。可进行自动设备标识，将其作为鉴别特定位置和设备连接的方法。需对诊断和配置端口的访问采取一定的控制措施，包括使用带钥匙的锁和支持程序，以控制对端口的物理访问。需在网络中隔离信息服务、用户及信息系统，并基于访问控制策略和访问要求，将网络分成独立的逻辑区域。需基于访问控制策略，在网络中实施路由控制，以确保网络连接不违反相关的访问控制策略。操作系统访问控制需对用户访问操作系统进行严格的访问控制，依据XXX的需求考虑如下（但不仅限于）内容：依据访问控制策略，使用适当的鉴别措施，鉴别用户并授权；记录系统鉴别成功和失败的情况；记录系统特殊权限的使用；当违反系统安全策略时警报。需对访问操作系统的登录程序加以控制，依据XXX的需求选择如下（但不仅限于）内容：限制登录程序所允许的最大时间，如果超时则系统断开登录；不显示输入的口令，不在网络上以明文传输口令；限制所允许的不成功登录尝试的次数。需对用户进行唯一的标识，如用户ID，并进行鉴别，以将各个活动追踪到各个责任人。需明确对用户口令的要求，并进行严格管理，以避免用户在操作系统中使用脆弱口令。需对可能超越操作系统安全控制措施的实用工具的使用加以限制并严格控制。需对操作系统设置会话超时控制，超时后需清空会话屏幕，如超时更长时间，关闭所有应用和网络会话。对于运行敏感信息的操作系统，特别是安装在高风险区域的，需使用联机时间控制的安全保障措施。应用和信息访问控制需严格限制对应用和信息的访问，使对于应用和信息的访问只限于已授权的用户，可依据XXX需求考虑如下（但不仅限于）内容：防范超越或绕过应用安全控制措施的任何实用工具、操作系统软件和恶意软件的未授权访问；不损坏与之共享信息资源的其他系统的安全。需基于各个业务应用要求来限制对应用和信息的访问，并与XXX信息安全策略一致，可依据XXX需求考虑如下（但不仅限于）内容：控制用户的访问权，如，读、写、删除和执行等；确保处理敏感信息的应用系统的输出仅包含授权使用相关的信息，并且仅发送给已授权的终端；周期性评审应用系统对用户的输出，确保没有多余信息。需对敏感系统进行隔离，并实施严格的访问控制。当敏感系统在共享的环境中运行时，其责任人应识别与其共享资源的相关风险。移动办公安全需确保使用移动计算设备和远程工作设施时的信息安全，考虑在不受保护的环境中工作的风险，应采用合适的保护措施。使用移动计算设备，如笔记本电脑、个人数字助理等设备时，应特别小心确保业务信息不被损害。需制定正式策略并且采用适当的安全措施，以防范使用移动计算设备时所造成的风险，应包括对物理保护、访问控制、密码技术、备份和病毒防护的要求。使用移动网络无线连接时，应确定其控制措施，并与其他类型的网络连接相区别，并进行重点考虑，如无线安全协议的已知漏洞，受限的无线网络带宽等。移动办公是利用通信技术使工作人员可以在XXX之外的固定地点进行远程工作。需制定移动办公的安全管理策略，及操作计划和程序。只有在安全控制措施部署到位时，才授权远程工作活动。需对远程工作场地进行适当的保护，以防范设备