闲置账号及时注销管理规定

闲置账号及时注销管理规定第一章总则1.1目的与依据为加强组织内部信息系统及网络资源的安全管理，规范账号全生命周期管理流程，降低因闲置账号长期滞留而引发的数据泄露、权限滥用、系统被入侵等安全风险，同时优化系统资源占用，提升账号管理效率，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《个人信息保护法》及行业相关网络安全等级保护要求，结合本组织实际业务场景与信息化建设现状，特制定本规定。本规定旨在建立一套自动化、标准化、流程化的闲置账号识别、预警与注销机制，确保“僵尸账号”得到及时清理，保障信息资产安全。1.2适用范围本规定适用于组织内部所有员工（含正式员工、合同制员工、实习生、劳务派遣人员）、退休人员、离职人员以及因业务合作需要接入组织内部信息系统的外部第三方人员（含顾问、供应商、合作伙伴等）在所有信息系统、网络设备、安全设备、云平台及应用服务中持有的各类账号。包括但不限于办公自动化系统（OA）、人力资源管理系统（HRM）、企业资源计划系统（ERP）、客户关系管理系统（CRM）、财务系统、邮件系统、虚拟专用网络（VPN）、服务器操作系统账号、数据库账号、各类SaaS应用账号及超级管理员账号等。1.3基本原则1.3.1职责明确原则：账号管理遵循“谁主管、谁负责，谁使用、谁负责”的原则，业务部门作为账号管理的第一责任主体，信息化部门作为技术执行与监督主体，共同负责账号的生命周期管理。1.3.2最小权限原则：账号权限分配应严格遵循业务需求，仅授予完成工作所需的最小权限，闲置期间必须立即冻结权限。1.3.3及时注销原则：人员离职、转岗或业务终止时，必须按照“人走号销、岗变号变”的要求，在规定时限内完成账号的注销或权限回收。1.3.4安全审计原则：所有账号的创建、使用、冻结、注销操作必须留有不可篡改的审计日志，确保可追溯、可定责。1.4定义1.4.1闲置账号：指在规定的时间周期内（以下简称“闲置阈值”）未发生任何登录行为、未产生任何业务操作数据，且不属于系统保留或特殊备案的账号。1.4.2僵尸账号：指超过闲置阈值且未进行任何清理操作的账号，此类账号通常存在极高安全风险。1.4.3孤儿账号：指责任人已离职或组织架构调整后，未重新分配归属人，导致管理权限缺失的账号。1.4.4注销：指在系统中彻底删除账号记录，解除其与所有资源的关联关系，并清除或归档相关业务数据的过程。第二章职责分工2.1信息化管理部门（或信息安全部）2.1.1负责本规定的制定、修订、解释与监督执行。2.1.2负责建设与维护统一身份认证平台（IAM）及账号管理系统，部署自动化账号巡检工具，定期扫描全量系统账号状态。2.1.3负责定期输出《闲置账号审计报告》，通报各业务部门账号清理情况。2.1.4负责执行技术层面的账号冻结、注销操作，并对注销过程中的数据备份与销毁进行技术验证。2.1.5协调第三方系统供应商，配合完成外部系统（如SaaS服务）的账号清理工作。2.2人力资源部门2.2.1负责提供准确、实时的人员入职、转岗、离职、退休等信息接口，确保信息化管理系统能及时获取人员状态变更通知。2.2.2在员工离职手续办理流程中，将“IT账号注销确认”作为必备环节，未完成账号注销不得签署离职证明。2.2.3协助核实长期未登录账号的责任人现状，配合进行账号归属权确认。2.3业务部门负责人2.3.1作为本部门业务系统账号管理的第一责任人，负责审批本部门员工的账号申请、权限变更及注销请求。2.3.2接到信息化部门发出的闲置账号预警通知后，需在规定时间内确认账号是否保留，并反馈处理意见。2.3.3对于因项目结束、业务下线而产生的批量闲置账号，业务部门负责人应主动发起注销申请。2.4审计与合规部门2.4.1定期对账号管理合规性进行审计，检查是否存在应注销未注销的账号。2.4.2对因账号管理不善导致的安全事故进行责任认定与追责。第三章闲置账号识别标准与分类3.1闲置时间阈值设定根据账号的权限级别及数据敏感度，设定差异化的闲置时间阈值。具体标准如下：账号类型风险等级闲置阈值定义判定标准建议处理动作超级管理员/特权账号极高连续30天未登录无任何登录日志，无操作记录立即冻结，由安全管理员复核后注销数据库/系统后台账号高连续60天未登录无查询或管理操作记录冻结，通知责任人确认，逾期注销业务操作关键账号中连续90天未登录无业务单据流转记录降级权限或冻结，预警通知普通员工办公账号低连续180天未登录无OA、邮件等系统访问记录标记为休眠，发送激活提醒，超期注销临时/外包人员账号中连续30天未登录合同到期或项目结束即视为闲置强制注销测试/开发环境账号低连续60天未登录无代码提交或构建记录定期批量清理3.2特殊保留账号以下类型的账号不纳入闲置账号自动注销范围，但需进行年度备案审查：3.2.1系统内置服务账号：用于应用程序后台连接数据库、中间件的账号，需由系统运维部门备案。3.2.2应急备份账号：仅用于紧急故障恢复的账号，平时处于锁定状态，需由安全部门审批备案。3.2.3历史数据归档账号：因合规要求需保留历史查询权限的账号，需由法务或合规部门审批备案。第四章账号注销流程管理4.1人员变动触发注销流程4.1.1离职注销：员工提交离职申请后，人力资源系统自动触发“离职预通知”至统一身份认证平台。IT部门在员工离职当日（T日）执行以下操作：(1)T-1日：冻结VPN、远程桌面等高风险接入权限，禁止访问核心数据。(2)T日：冻结所有业务系统账号，禁止数据增删改操作。(3)T+3日：在确认业务交接完毕且无遗留数据争议后，执行彻底注销操作。4.1.2内部转岗：员工岗位发生变动时，原岗位业务系统账号应在转岗生效后3个工作日内完成注销。若新岗需使用原系统，需重新发起权限申请，经审批后变更账号属性及角色。4.1.3外部人员退出：外部顾问、供应商或开发人员服务合同终止或项目验收交付后，业务接口人应立即发起账号注销申请，IT部门需在24小时内完成注销。4.2定期巡检触发注销流程4.2.1自动扫描：统一身份认证平台每日凌晨自动扫描全量账号登录日志，比对闲置阈值。4.2.2预警通知：对于达到闲置阈值的账号，系统自动发送第一封预警邮件至账号使用人及其直属上级，提醒账号即将进入休眠状态。4.2.3确认保留：若用户需保留账号，需在收到预警后5个工作日内登录系统进行“激活”操作，或向IT部门提交《账号保留说明》，经业务部门负责人审批通过后，重置闲置计时器。4.2.4强制冻结：超过闲置阈值且未进行激活操作的账号，系统自动将其状态变更为“冻结”。冻结期间，账号无法登录系统。4.2.5最终注销：账号被冻结后，给予30日的“申诉保留期”。期满仍未申诉或审批未通过的，系统自动执行注销程序，删除账号数据。4.3业务下线触发注销流程当某业务模块、应用系统或项目整体下线时，业务部门需提前15个工作日提交《系统下线与账号清理方案》。IT部门依据方案，对关联的所有业务账号执行批量注销，并生成《账号清理执行报告》存档。第五章数据安全与合规处理5.1数据备份与留存在执行账号注销操作前，系统必须自动执行以下数据处理逻辑，以满足审计与合规要求：5.1.1操作日志留存：该账号从创建到注销期间的所有登录日志、操作日志、权限变更日志必须永久保存在安全日志中心，不得随账号一同删除。5.1.2业务数据归档：账号名下的业务数据（如审批记录、提交的表单、代码提交记录）不能因账号注销而丢失。系统应将业务数据的归属人自动变更为“已离职用户归档”或转移至其原部门负责人账号下，确保业务数据的完整性。5.1.3个人数据清理：对于仅存储于个人空间（如个人网盘、本地配置文件）且无业务保留价值的数据，应按照《个人信息保护法》要求，在注销时进行彻底擦除或匿名化处理。5.2数据销毁标准5.2.1逻辑删除：对于一般业务系统账号，可采用逻辑删除方式（设置删除标记），使其无法通过认证接口使用。5.2.2物理删除：对于包含敏感信息（如身份证号、银行卡号、生物识别信息）的测试账号或临时账号，必须执行物理删除，从数据库底层彻底清除记录，并覆盖存储扇区，防止数据恢复。5.3第三方系统注销合规对于托管在云端的SaaS应用或外部合作机构系统，IT部门应依据双方签署的数据处理协议（DPA），要求供应商在收到注销通知后，立即删除我方人员账号及副本数据，并返回《数据销毁确认书》。第六章异常处理与应急响应6.1误注销恢复机制6.1.1申诉流程：因员工出差、系统故障未记录登录日志等非主观原因导致账号被误注销的，用户可在注销后30日内向IT部门提交《账号恢复申请》。6.1.2恢复操作：IT部门核实申请无误后，从备份库中恢复账号基础信息及权限配置。但需注意，个人临时性数据（如缓存、草稿）通常无法恢复，需在申请时告知用户。6.1.3安全审计：所有恢复操作必须经过安全部门审批，并进行高风险操作审计，防止恶意利用恢复流程植入僵尸账号。6.2账号被入侵后的紧急注销6.2.1监测发现：安全运营团队通过态势感知、IDS/IPS等设备发现某账号正在遭受攻击或已被异常控制。6.2.2紧急切断：立即执行“紧急熔断”机制，强制下线该账号所有会话，冻结账号权限，并重置密码。6.2.3事故分析：在对攻击行为进行溯源分析后，若确认账号已不可信或责任人已失联，应直接跳过常规流程，执行紧急注销，并上报安全事件。6.3孤儿账号处置对于长期无法确认责任人的孤儿账号，按以下步骤处理：6.3.1公示：在内部管理门户发布《孤儿账号认领公告》，公示期为15个工作日。6.3.2清理：公示期满无人认领的，由IT部门提取账号业务数据归档至公共部门，随后强制注销账号，并记录日志备查。第七章监督、考核与奖惩7.1监督检查信息化管理部门每季度对各单位账号管理情况进行一次全面检查，重点检查以下内容：7.1.1离职人员账号是否在规定时限内完成注销。7.1.2是否存在长期未登录且未备案的特权账号。7.1.3账号注销流程是否符合数据安全规范。7.1.4业务系统是否存在私自创建的“影子账号”。7.2考核指标将账号管理合规性纳入各部门年度信息化绩效考核体系，设定关键绩效指标（KPI）：7.2.1账号及时注销率：目标值应达到100%。计算公式：（按时注销账号数/应注销账号总数）×100%7.2.2闲置账号清理率：目标值应不低于98%。计算公式：（已清理闲置账号数/发现闲置账号总数）×100%7.2.3账号审计异常数：目标值为0。7.3奖惩措施7.3.1奖励：对于在账号管理技术创新、流程优化方面做出突出贡献，或及时发现重大账号安全隐患并避免损失的部门或个人，给予通报表扬及物质奖励。7.3.2惩罚：(1)因未及时注销离职人员账号，导致数据泄露、系统瘫痪等安全事故的，依据事故等级追究业务部门负责人及直接责任人的行政及法律责任。(2)故意隐瞒账号、私自创建僵尸账号供他人使用的，一经查实，视情节严重程度给予记过、降职或解除劳动合同处理。(3)连续两个季度账号管理考核不达标的部门，取消其年度信息化评优资格。第八章附则8.1解释权本规定由组织信息化管理委员会（或信息安全领导小组）负责解释。8.2协议冲突本规定与组织此前发布的相关管理规定不一致的，以本规定为准。本规定未尽事宜，参照国家相关法律法规及行业标准执行。8.3生效日期本规定自发布之日起正式施行。原《账号管理办法》中关于闲置账号清理的条款同时废止。8.4动态修订本规定应根据国家法律法规变化、技术标准更新及组织业务发展情况，每两年至少进行一次全面评估与修订。8.5例外审批对于确因特殊业务原因（如长期海外驻派、产假、病假等）需要保留超过闲置阈值的账号，实行“一事一议”制度。由业务部门发起专项