信息系统用户及密码管理办法

信息系统用户及密码管理办法

第一章总则

第一条为了加强风险管理，强化保密工作，提高信息

系统整体安全水平，有效防范信息安全风险，确保信息系统

稳定、安全、可靠的运行，根据信息系统信息安全管理制度,

制定本办法。

第二条本办法适用于我院开发管理的各应用信息系

统。

第三条本办法属于“管理办法”，适用于。

第二章用户与密码的设定

第四条信息系统的用户可分为系统管理用户、应用维

护管理用户、查询用户和一般操作用户。

系统管理用户指的是信息系统所使用的操作系统、网络

和数据库的管理用户。

应用维护管理用户指的是信息系统应用软件和应用数

据的管理和维护用户。

查询用户指的是信息系统应用软件和应用数据的查询

用户。

一般操作用户指的是使用预先编写好的程序进行操作

的用户。

第四条信息系统各类用户的管理应做到权限合理、分

工明确、责任清楚、操作规范，各类用户的操作人员职责权

限不得交叉覆盖。系统管理用户的操作人员不得参与软件开

发和应用软件、应用数据的管理维护，不得兼任一般操作人

员；应用维护管理用户的操作人员不得兼管系统管理用户或

一般操作用户。不得违章变更、修改用户权限，不得越权操

作。

第五条各信息系统的软、硬件系统应按照运行管理需

要合理设置各类用户，所有用户均必须设置密码。

第六条用户与密码的设置应遵循如下要求：

(一)登录信息系统需要有用户帐号，相当于身份标识,

用户帐号采用人员姓名的缩写或由信息中心统一分发，规则

如下：

(1)两个汉字的中文名称，采用拼音的全称。

(2)三个汉字的中文名称：采用姓的全拼加上名字的

首字母。如果出现用户帐号重名的情况，出现的第一个重名

的情况在用户帐号后面增加一个字母“1”；出现第二个重名

的用户帐号，在重名的用户帐号后面增加一个字母“2”；如

此类推

(二)密码为保护信息安全而对用户帐号进行验证的唯

一口令。设置规范要求如下:

(1)信息系统密码设置规范的系统控制：系统应控制

密码的有效期，通过设置，强行要求用户定期进行密码修改,

减少密码被盗用的可能；用户密码长度和编码规则限制。强

行要求用户密码符合长度和复杂性要求；系统控制第一次登

录后必须马上更改初始密码；设置用户密码输入错误次数。

在密码错误输入超过3次后，系统锁定登陆用户。用户必须

通知系统权限管理员解除锁定。引进、外包开发或者自主开

发的所有业务系统，均应按照本办法第六条的要求，完善密

码管理功能模块。

(2)密码的长度不少于8位。

(3)密码由大小写字母、数字以及特殊符号等字符组

成4O

(4)密码的字母部分不得与用户名相同。

(5)不得使用姓名、电话号码、生日、地址等个人信

息以及任何有意义的短语(如汉语拼音、常用单词、常用命

令等)作为密码。

第七条系统管理用户的设定

在初始配置安装网络系统、操作系统及数据库系统时，

系统管理用户应首先设置密码。系统管理用户应由不兼容岗

位人员分别管理。各系统一般不得开设多个系统管理用户。

第八条应用维护管理用户的设定

系统管理用户操作人员根据应用系统的使用要求，开设

应用维护管理用户，设置初始密码，并分配相应的使用权限。

应用维护管理用户操作人员取得初始密码后应立即设置双

密码，并由不兼容岗位人员分别管理。

第九条查询用户的设定

系统管埋用户操作人员根据应用系统的使用要求，升设

查询用户，设置初始密码，并分配相应的使用权限，查询用

户取得初始密码后需立即更改密码。

第十条用户的授权审批

用户申请、变更、注销流程：用户新增、变更流程：（1）

由用户本人提出申请；（2）申请人所属部门权限负责人核

准；（3）信息中心根据《信息系统用户申请表》在系统中

进行权限设置；维护用户及权限清单；并通知申请人及其部

门权限负责人；（4）申请人应在收到通知的当天修改初始口

令。

用户注销流程：当用户由于工作变动、调动或离职等原

因需要对用户的访问权限进行修改或注销时：（1）用户填写

《信息系统用户申请表》并提交本部门权限负责人处；（2）

权限负责人进行签批；（3）信息中心根据《信息系统用户申

请表》进行用户的变更或注销，维护用户清单和权限列表，

并通知人事部门；（4）人事部门有信息中心签字表明用户权

限已经注销，才能办理离岗或转岗的手续。

第三章用户与密码的使用与管理

第十一条系统管理用户和应用维护管理用户的密码

设置或更改应填写《信息系统密码管理登记簿》（见附件2）。

第十二条对网络、系统进行配置、维护等操作时，相

关用户的密码掌管者应始终在场监督实施，并在《维护操作、

授权登记簿》（见附件3）上记录操作内容。

第十三条当系统管理用户或应用维护管理用户的管

理人员A角因外出等原因，无法在现场对网络、系统实施配

置、维护等操作时，经信息中心负责人批准，由B角完成相

关工作。A角回岗后应立即更改密码。

第十四条系统管理用户、应用维护管理用户及查询用

户须定期更换密码。系统管理用户、应用维护管理用户的密

码至少每季度更换一次。而且新密码不得与原密码相同。信

息中心负责人应指定专人监督实施密码更换工作。

第十五条人员离岗或更换工作岗位应做好相关用户及

密码的移、接交工作。

第十六条信息系统在设计、研发及投产时，不得将系

统管理用户设置为该应用系统运行的默认用户。

第十七条信息系统在设计、研发时，不得将用户名和

密码固化在应用软件中，并不得以明文的形式存放在数据

库、配置文件或注册表中。

第十八条所有业务系统各类用户可自行修改密码，密

码不可告知他人，用户帐号不可转借他人使用。密码应妥善

保管，不得公开或者告知他人。如果遗忘，应及时联系系统

权限管理员重新设置。

第十九条信息系统的各种密码不得以文档形式保存

于电脑中。

第四章用户与密码的废除管理

第二十条用户废除不用时，应由使用部门及时提出用

户废除申请，报信息中心相关负责人审批同意后，废除相关

用户。

第二十一条用户及密码废除的执行必须由信息中心

负责人指定专人监督进行。

第五章附则

笫二十二条本办法由信息中心制定并负责解释和维

护管理。

第二十三条本办法自印发之日起施行。

附件：1、《信息系统用户申请表》

2、《信息系统密码管理登记簿》

3、《维护操作、授权登记簿》

附件1

信息系统用户申请表

申请人申请时间

申请部门使用人

系统名称用户名

系统管理用户/应用维护管理用户/查询用户

用户类型

/一般操作用户

权限

申请部门意见

信息中心意见

维护人员

复核

附件2

信息系统密码管理登记簿

系

统

、

用

尸

名

称

名

时间称操作内容备注

注：此表登记信息系统各类密码的基本情况。此表由信息中

心负责存档。

附件3

维护操作、授权登记簿

一

一