信息系统用户和权限管理制度

信息系统用户和权限管理制度一、总则（一）目的与依据为规范公司信息系统的用户管理和权限分配，保障信息系统的安全、稳定、高效运行，保护公司信息资产的完整性、保密性和可用性，防范未经授权的访问和操作带来的风险，依据国家相关法律法规及公司内部信息安全管理规定，特制定本制度。（二）适用范围本制度适用于公司内部所有正式投入使用的信息系统（包括但不限于业务管理系统、财务管理系统、人力资源管理系统、办公自动化系统等）的用户账户创建、权限分配、使用、变更、注销及日常管理等活动。公司所有员工（含正式员工、试用期员工、实习生及其他需要访问公司信息系统的相关人员）均须遵守本制度。（三）基本原则1.最小权限原则：用户权限的分配应以完成其岗位职责所必需的最小权限为限，避免权限过大或滥用。2.职责分离原则：对于信息系统中的关键操作或敏感功能，应确保不同职责由不同用户承担，形成相互监督和制约机制。3.身份唯一与实名原则：每个用户在信息系统中应有唯一的身份标识，且必须与实际人员信息相对应，实行实名制管理。4.权限申请与审批原则：用户权限的获取、变更必须经过规范的申请、审批流程，确保权限分配的合理性和可追溯性。5.定期审查与及时清理原则：对用户账户及其权限应进行定期审查，对不再需要的账户或权限应及时进行清理和回收，防止权限冗余和过期。6.安全保密原则：用户应妥善保管个人账户信息，严禁泄露、转借他人使用，对其账户下的操作行为负责，并严格遵守公司信息安全及保密相关规定。二、用户管理（一）用户账户开立1.用户因工作需要使用信息系统，应由所在部门统一或个人向系统管理部门（或指定负责人，下同）提交书面的《信息系统用户账户申请表》，详细说明申请理由、所需访问的系统名称、预计使用期限等信息，并经部门负责人审核批准。2.系统管理部门在收到经批准的申请后，应在规定时限内为用户创建账户。账户命名应遵循公司统一的命名规则，确保唯一性和易识别性。3.账户创建后，系统管理部门应及时将初始登录信息（如用户名、初始密码）以安全方式（如当面告知、加密邮件等）通知用户本人，并要求用户立即登录系统修改初始密码。4.用户账户实行实名制管理，严禁创建匿名账户或共享账户（经特殊批准的公共服务账户除外，但需明确管理责任人）。（二）用户账户信息变更1.当用户的姓名、所属部门、联系方式等基本信息发生变更，或因岗位调整需要变更账户相关属性时，应由用户本人或所在部门提交《信息系统用户账户变更申请表》，经部门负责人审核后，报系统管理部门办理变更手续。2.系统管理部门应根据审批结果及时更新用户账户信息，并记录变更内容及时间。（三）用户账户注销与禁用1.当用户因离职、调动（不再需要原系统权限时）、退休、实习结束等原因不再需要使用信息系统账户时，所在部门应提前通知系统管理部门，并提交《信息系统用户账户注销/禁用申请表》。2.系统管理部门在收到申请后，应在规定时限内对相应账户进行注销或禁用处理，并确保用户数据的妥善交接与清理。对于离职人员，账户注销/禁用应与离职手续办理同步完成。3.对于长期（如超过规定期限）未使用的账户，系统管理部门应进行核实，经确认无需保留的，应予以注销或暂时禁用；如需重新启用，需按新开户流程或权限恢复流程办理。三、权限管理（一）权限定义与分类1.各信息系统应根据业务功能和安全级别，对系统权限进行合理定义和分类，如菜单访问权限、数据查看权限、数据录入权限、数据修改权限、数据删除权限、审批权限、系统配置权限等。2.鼓励采用基于角色的访问控制（RBAC）方法，即先定义不同的角色，为角色分配相应的权限集合，再将用户关联到相应的角色，从而实现权限的批量分配和管理。（二）权限申请与审批1.用户所需权限应在账户开立时一并申请，或在后续因工作需要新增权限时，单独提交《信息系统权限申请表》。2.权限申请需明确申请的权限范围、对应的角色（如采用RBAC）或具体操作权限，并说明申请理由。申请需经部门负责人审核，对于超出部门负责人审批权限的敏感权限或高级权限，还需报请更高级别领导或信息安全管理部门审批。3.系统管理部门依据经批准的《信息系统权限申请表》为用户分配相应权限，并记录权限分配情况。（三）权限变更与回收1.用户因岗位变动、职责调整等原因需要变更已有权限时，应提交《信息系统权限变更申请表》，说明变更内容及理由，经原审批流程审核批准后，由系统管理部门办理权限变更手续。2.当用户不再担任某一岗位或不再需要某项权限时，所在部门应及时通知系统管理部门，由系统管理部门对相应权限进行回收。3.权限的变更和回收均需有书面记录，并存档备查。（四）权限审查与清理1.系统管理部门应定期（如每季度或每半年）组织对信息系统用户账户及其所拥有的权限进行审查。审查可结合用户岗位职责、近期操作记录等进行。2.部门负责人应对本部门用户的权限合理性进行初审，系统管理部门进行复核。对发现的冗余权限、不适当权限、过期权限等，应及时通知相关用户及部门，并按规定流程进行清理或调整。3.审查结果及处理情况应形成书面报告，存档备查。（五）特权用户管理1.系统管理员、数据库管理员等拥有系统最高权限或敏感操作权限的特权用户，其账户创建、权限分配、密码管理等应遵循更为严格的管控措施。2.特权用户的操作应严格限制在工作职责范围内，并实行双人负责制或操作日志审计制度。其密码应采用更高安全强度的策略，并更频繁地更换。3.特权用户账户应专人专用，严禁转借或用于非工作目的。四、安全保障与责任（一）密码管理1.用户应设置符合安全要求的登录密码，密码应包含大小写字母、数字及特殊符号等多种字符组合，长度不低于规定位数，并定期（如每90天）更换。2.严禁使用过于简单、易猜测的密码，如生日、连续数字、用户名等。严禁将密码告知他人或记录在易被他人获取的地方。3.系统应具备密码复杂度检查、定期更换提醒、登录失败次数限制及账户锁定等安全功能。（二）操作规范与日志审计1.用户应在授权范围内操作系统，严格遵守各项操作规程，不得进行未经授权的系统配置更改、数据篡改、软件安装/卸载等行为。2.用户应对自己账户下的所有操作行为负责。如发现账户被盗用或异常操作，应立即通知系统管理部门，并采取必要的安全措施。3.各信息系统应具备完善的操作日志记录功能，对用户登录、关键操作、权限变更等行为进行详细记录。系统管理部门应定期对操作日志进行审计，以便追溯和调查安全事件。（三）安全保密教育与培训公司应定期组织信息安全及本制度的培训教育，提高用户的安全意识和规范操作能力。用户应积极参加相关培训，了解并遵守信息安全规定。（四）责任追究对于违反本制度规定，造成信息系统安全事件、数据泄露或公司损失的，公司将根据情节轻重及相关规定，对责任人进行批评教育、经济处罚、行政处分，构成犯罪的，将移交司法机关处理。五、附则（一）制度执行与监督本制度由公司信息管理部门（或指定