账号权限管理规范

账号权限管理规范一、总则1.1目的为规范企业信息系统、网络设备、服务器、数据库及业务数据的账号权限全生命周期管理，防范账号盗用、权限滥用、数据泄露等安全风险，保障信息资产安全与业务合规运行，明确账号权限管理职责、流程与标准，特制定本规范。1.2适用范围本规范适用于企业所有内部人员（正式员工、实习生、试用期员工）、外部人员（外包人员、供应商、合作伙伴、临时访客）及系统服务账号，覆盖企业全部信息系统（OA、ERP、CRM、财务系统、生产系统、云平台等）、网络设备、服务器、数据库、终端设备的账号权限管理。1.3管理原则最小权限原则：仅授予用户完成本职工作必需的最小权限，严禁超职能、超范围授权。权责对等原则：账号归属唯一、实名管理，账号持有人对账号使用行为承担全部责任。动态管控原则：权限随岗位、职责、业务需求动态调整，离职、调岗、业务终止后立即回收权限。职责分离原则：高风险操作（如数据删除、资金支付、系统配置）权限拆分，避免单一账号具备全流程操作权限。合规审计原则：全流程留痕、定期审计，符合《网络安全法》《数据安全法》及行业监管要求。二、职责分工2.1信息安全/IT管理部门统筹账号权限管理体系建设，制定、修订本规范及配套流程。负责账号创建、变更、停用、注销的技术执行，维护权限矩阵、统一身份认证系统。开展账号权限日常巡检、安全审计、异常监测，处置账号安全事件。组织账号权限安全培训，指导业务部门规范权限管理。2.2业务部门负责人审核本部门账号权限申请、变更、续期的真实性与必要性。确认本部门人员岗位变动、离职后，及时发起权限调整/回收申请。监督本部门人员规范使用账号，制止违规行为。2.3系统/数据所有者定义系统/数据的权限分级、角色模板、访问边界。审核跨部门、高敏感权限申请，确保权限分配符合数据安全要求。2.4账号持有人妥善保管账号密码、认证设备，不转借、不泄露、不共用账号。按授权范围使用权限，不越权操作、不违规访问数据。发现账号异常（被盗、违规操作）立即上报信息安全/IT部门。三、账号分类与管控标准3.1账号分类普通用户账号：内部员工日常业务账号，按岗位分配基础权限。特权账号：系统管理员、数据库管理员、网络管理员账号，具备系统配置、数据管理、用户授权等高风险权限。临时账号：短期业务需求（如项目协作、临时支持）开通的账号，设固定有效期。第三方账号：外包、供应商、合作伙伴等外部人员账号，权限最小化、限时管控。服务账号：系统间交互、自动化任务专用账号，非人工使用，严格限制权限。3.2基础管控要求一人一号、实名唯一：严禁匿名账号、共享账号、公用账号，账号命名统一规范（如工号、姓名拼音+部门标识）。密码安全策略：密码复杂度：长度≥12位，包含大小写字母、数字、特殊符号，不包含账号名、生日等弱特征。密码轮换：普通账号90天更换，特权账号30天更换，禁止重复使用近5次密码。登录防护：连续5次登录失败锁定账号15分钟，支持管理员解锁。初始密码：首次登录强制修改初始密码，禁用默认密码。多因素认证（MFA）：特权账号、核心业务系统、远程访问必须启用MFA（短信验证码、UKey、生物识别等）。3.3分类管控细则（1）特权账号严格限量，仅授予必需岗位，实行“集中托管、临时授权、操作审计”。日常禁用，使用前提交申请，经部门负责人+信息安全部门双审批，限时授权。操作全程录屏、日志留存，禁止用于日常业务操作。密码专人保管、双人复核，定期更换，核心系统特权账号启用双因素认证。（2）第三方账号签订保密协议、安全承诺书，明确责任与违规处罚。权限最小化，仅开放工作必需的功能/数据范围，禁止访问生产核心、敏感数据。设固定有效期（最长3个月），到期自动停用，续期需重新审批。专人对接、全程审计，业务终止立即注销账号。（3）临时账号明确使用期限、权限范围，到期自动回收。审批流程简化，经部门负责人审批即可开通。禁止分配高风险权限，使用期间定期核查。（4）服务账号专用专用，禁止人工登录、转借使用。权限锁定最小化，仅开放系统交互必需权限。密码定期轮换，日志留存，禁止用于业务操作。四、账号权限全生命周期管理流程4.1账号权限申请申请发起：申请人填写《账号权限申请表》，注明申请人信息、系统名称、权限类型（访问/编辑/删除/导出）、数据范围、有效期、申请理由。分级审批：普通权限：申请人→部门负责人审批。敏感/跨部门权限：申请人→部门负责人→系统/数据所有者审批。特权/核心系统权限：申请人→部门负责人→信息安全部门→分管领导审批。开通执行：审批通过后，IT部门1个工作日内完成账号创建、权限配置，通知申请人。4.2账号权限变更岗位调整、职责变动、业务扩展需变更权限时，提交《权限变更申请表》，注明变更原因、新旧权限内容。审批流程同申请流程，IT部门按审批结果调整权限，同步更新权限台账。4.3账号权限回收/停用主动回收：员工离职：部门HR/负责人1个工作日内通知IT部门，立即冻结、注销全系统账号，回收所有权限。岗位调岗：自动回收原岗位权限，按新岗位重新申请分配。临时/第三方账号到期：自动停用，需续期重新审批。业务终止：立即注销相关账号，清理冗余权限。被动停用：账号连续90天未登录，自动锁定；确认无需求后注销。4.4密码重置与解锁密码遗忘：申请人提交申请，经部门负责人审批后，IT部门重置临时密码。账号锁定：普通账号自助解锁或联系IT解锁；特权账号锁定需信息安全部门复核解锁。五、权限分配与角色管理5.1权限分级按系统敏感度、数据重要性分为三级：一级权限（低风险）：基础查询、浏览权限（如OA公告查看）。二级权限（中风险）：数据录入、编辑、导出权限（如业务数据录入）。三级权限（高风险）：数据删除、修改配置、资金操作、用户管理权限（如财务支付、系统配置）。5.2基于角色的权限分配（RBAC）构建“岗位-角色-权限”矩阵，按岗位定义标准角色（如财务会计、销售专员、运维管理员）。角色绑定固定权限集合，用户分配角色即获得对应权限，简化管理、避免越权。定期梳理角色权限，新增岗位及时定义角色，废弃岗位及时清理角色。5.3职责分离控制禁止单一账号同时具备风险关联权限：财务：支付申请、审核、执行权限分离。数据：数据录入、审核、删除权限分离。系统：管理、安全、审计权限三权分立。六、安全审计与监督6.1日常巡检IT部门每日核查账号异常：未授权登录、越权操作、特权账号违规使用、长期未登录账号，及时处置。6.2定期审计季度审计：全面核查所有账号权限，清理冗余、闲置、违规账号，形成审计报告。专项审计：人员集中变动、系统上线、合规检查时开展专项审计。审计内容：账号合规性、权限匹配度、审批流程完整性、日志留存情况。6.3日志管理所有账号登录、权限操作、数据访问、配置修改全程留痕，日志包含账号、时间、IP、操作内容、结果。日志留存≥6个月，核心系统、敏感操作日志留存≥3年，符合监管要求。日志禁止篡改、删除，仅审计人员可查阅。七、违规处理有下列行为之一的，给予警告、通报批评、绩效处罚；造成损失的，追究经济责任；涉嫌违法的，移交司法机关：转借、泄露、共用账号，或使用他人账号操作。越权操作、违规访问/泄露敏感数据。未按流程申请、审批权限，私自开通/变更权限。离职、调岗未及时回收权限，造成安全隐患。篡改、删除操作