信息化外包人员权限访问安全管理细则

信息化外包人员权限访问安全管理细则第一章总则随着企业数字化转型的深入推进，信息化外包服务已成为提升运营效率、补充技术资源的重要手段。然而，外包人员在提供技术支持的同时，也因其流动性大、归属感弱、管理复杂等特点，给企业的信息资产安全带来了潜在风险。为规范外包人员对信息系统、网络设备及数据资源的访问行为，确保核心业务数据的安全性、完整性和可用性，依据《中华人民共和国网络安全法》、《数据安全法》及企业内部信息安全管理制度，特制定本管理细则。本细则旨在建立一套全生命周期的外包人员权限访问安全管理体系，涵盖准入审核、权限分配、行为监控、定期审计及离岗回收等关键环节。通过实施最小权限原则、职责分离原则以及多层次的审计机制，有效防范数据泄露、恶意破坏及非授权访问等安全事件。本细则适用于所有以劳务派遣、技术服务、项目开发、运维支持等形式为本企业提供信息化服务的外部人员及其所属服务商，以及涉及外包人员管理的内部各部门。第二章组织架构与职责外包人员权限访问安全管理并非单一部门的职责，而是需要业务部门、信息安全部门及人力资源部门共同参与的协同工作。为明确权责，确保管理措施落地，特设立跨部门的外包安全管理联合工作组，并明确各方职责如下：一、信息安全部门信息安全部门作为外包人员权限管理的归口监管机构，承担核心监督与技术保障职责。其主要职责包括：制定和完善外包人员访问安全策略及技术标准；负责权限审批流程中的技术审核，评估权限申请的合理性；建设并维护统一身份认证平台、堡垒机、数据防泄漏（DLP）等安全管控系统；对外包人员的操作行为进行实时监控与日志审计；定期组织对外包账号及权限的合规性检查；牵头处置外包人员引发的安全事件。二、业务主管部门业务主管部门作为外包人员的直接使用方，是安全管理的第一责任人。其主要职责包括：根据业务需求提出外包人员岗位需求及权限申请清单；对权限申请的必要性进行严格把关，确保遵循“按需分配”原则；负责外包人员日常工作的安排与业务指导；监督外包人员在本部门区域内的物理安全与操作规范；在外包人员服务期满或出现违规行为时，及时发起权限回收申请。三、人力资源部门人力资源部门负责外包人员的入职背景调查、合同管理及离岗协调。其主要职责包括：在引入外包服务商时，协助审核其安全资质及人员背景；督促外包服务商签署保密协议（NDA）与知识产权协议；建立外包人员信息台账，维护人员入离职状态；配合信息安全部门与业务部门，确保在人员离职时第一时间通知相关部门回收权限。四、采购与合同管理部门采购与合同管理部门负责在外包服务合同中明确安全条款。其主要职责包括：将本细则及相关安全要求纳入外包服务招标文件及合同文本；明确服务商在人员安全管理方面的违约责任；在合同续签或终止时，及时通知信息安全部门评估权限回收风险。第三章外包人员准入与背景审查外包人员的准入是安全管理的第一道防线。所有外包人员在获得任何系统访问权限前，必须完成严格的身份认证与背景审查。一、背景调查标准对于接触核心业务系统、敏感数据或关键网络设备的外包人员，必须进行强制性的背景调查。调查内容至少应包括：身份信息核实（身份证、学历证真伪）；过往职业履历及表现调查；违法犯罪记录查询；与原单位的竞业限制协议核查。背景调查应由具备资质的第三方机构或人力资源部门牵头执行，未通过背景调查的人员严禁录用。二、安全意识培训与考核所有外包人员在入职上岗前，必须接受信息安全意识培训。培训内容应涵盖：企业信息安全红线与禁令；数据分级分类保护要求；账号密码安全管理规范；终端安全使用规定；安全事件报告流程。培训结束后需进行闭卷考试，考试成绩合格者方可开通权限，考试试卷需存档备查。对于接触敏感数据的人员，还需增加专项数据安全保护与法律法规培训。三、保密协议签署外包人员必须签署具有法律效力的保密协议，明确其在服务期间及离职后一定期限内对知悉的企业商业秘密、技术数据及客户信息的保密义务。保密协议应明确违约责任，包括但不限于赔偿损失、追究法律责任等。同时，需签署知识产权归属协议，明确其在服务期间产生的工作成果的知识产权归本企业所有。第四章账号与身份认证管理为避免共享账号、幽灵账号带来的安全隐患，外包人员必须使用实名制账号，并纳入企业统一身份认证平台进行全生命周期管理。一、账号申请与审批流程外包人员账号申请必须通过工单系统进行，严禁口头申请或私下授权。申请流程需包含以下环节：业务主管部门负责人填写《权限申请单》，详细说明申请人员姓名、工号、所属服务商、项目名称、申请权限范围、访问理由及预计使用期限；信息安全部门进行技术审核，评估权限风险；相关系统拥有者进行业务审批；审批通过后，由系统管理员开通账号。账号申请必须遵循最小权限原则，仅授予完成当前任务所需的最小权限集。严禁申请与工作无关的权限，严禁授予超级管理员权限。对于高风险操作，必须采用双人复核机制。二、账号命名规范为便于识别与管理，外包人员账号命名应遵循统一规范，建议采用特定前缀加人员姓名的格式，例如“OUT-姓名”或“V-姓名”。在统一身份认证平台及各业务系统中，必须将账号属性标记为“外包”，以便于安全审计与异常行为监测。三、身份认证策略外包人员访问系统必须采用强身份认证策略。对于内部办公网访问，除用户名/口令外，必须启用多因素认证（MFA），如动态令牌、手机短信验证码或生物特征识别。密码复杂度要求不得低于企业内部员工标准，即长度至少12位，包含大小写字母、数字及特殊符号，并每60天强制更换一次。严禁外包人员使用弱口令或默认口令。四、账号生命周期管理1.账号有效期：外包人员账号有效期应与项目合同期限或人员上岗期限绑定，最长不得超过一年。到期后，如需继续使用，业务部门必须提前10个工作日发起续期申请，经审批后方可延长。2.账号锁定与解锁：连续输错密码5次以上，系统应自动锁定账号。账号解锁需由外包人员本人提交申请，经业务部门负责人确认后，由管理员执行解锁操作。3.账号清理：信息安全部门每月应导出外包人员账号清单，与人力资源部门提供的人员在职名单进行比对。对于已离职但账号未注销的“幽灵账号”，必须立即强制注销。第五章访问权限控制策略针对不同级别的信息系统与数据资源，应实施差异化的访问控制策略，构建纵深防御体系。一、网络层访问控制外包人员原则上禁止直接访问核心生产服务器区。所有远程运维操作必须通过专用运维通道（如VPN结合堡垒机）进行。VPN账号应绑定特定的终端设备MAC地址，限制并发登录数，并设置严格的会话超时时间（如空闲15分钟自动断开）。根据外包人员的工作性质，划分不同的网络VLAN（虚拟局域网）：1.互联网访问区：仅允许访问互联网，禁止访问内网资源，适用于客服、数据标注等无需内网权限的人员。2.非核心生产区：允许访问开发、测试环境及部分非核心业务系统，通过防火墙严格限制访问目的IP与端口。3.核心生产区：仅允许通过堡垒机进行运维操作，且必须经过严格的命令级授权。二、应用层访问控制应用系统应实施基于角色的访问控制（RBAC）。针对外包人员，应建立专门的角色组，如“外包开发”、“外包运维”、“外包测试”等，严禁将外包人员加入内部员工角色组。对于敏感功能模块（如数据导出、批量修改、权限配置、财务审批等），应在系统层面进行二次授权或阻断。系统应具备会话管理功能，限制同一账号的并发会话数量，并记录详细的会话日志。三、数据层访问控制外包人员对数据库的访问必须经过数据库防火墙或通过堡垒机进行。严禁直接以高权限账号（如dba、root）连接数据库。针对敏感数据字段，应实施数据脱敏处理，例如对外包开发人员展示的手机号、身份证号进行中间四位打码处理。严禁外包人员在非授权环境下将生产数据下载至本地终端。如确需进行数据测试，必须使用经过脱敏后的仿真数据，严禁使用真实生产数据。第六章终端与设备安全管理外包人员使用的终端设备是数据泄露的高风险环节，必须实施严格的终端管控措施。一、终端设备准入原则上，外包人员应使用企业统一配发的标准办公终端。如确需使用自带设备（BYOD），必须安装企业指定的终端安全代理软件，并接受合规性检查。未安装安全代理或合规性检查不通过的设备，禁止接入企业内部网络。二、终端安全基线要求所有外包终端必须满足以下安全基线要求：1.操作系统必须及时安装最新的安全补丁。2.必须安装企业指定的杀毒软件，并确保病毒库版本实时更新，实时防护功能开启。3.严禁私自安装与工作无关的软件，特别是游戏、P2P下载、远程控制软件等。4.必须开启全盘加密（如BitLocker），防止设备丢失导致数据泄露。5.屏幕保护程序设置密码，且等待时间不超过5分钟。三、外设与接口管控外包终端的USB存储接口、光驱等外设接口应默认禁用。如因工作需要使用U盘等移动存储介质，必须使用企业统一配发的加密U盘，且使用过程需经过审计记录。严禁使用个人移动存储介质拷贝企业数据。终端设备严禁连接个人手机、平板等移动设备进行充电或数据传输，防止通过桥接方式窃取数据。四、桌面水印策略为防止通过截屏、拍照等方式泄露数据，外包人员办公终端应强制开启屏幕水印功能。水印内容应包含操作人员姓名、时间、IP地址等关键信息，一旦发生泄露事件，可通过水印溯源追责。第七章行为监控与审计“三分技术，七分管理”，完善的监控与审计机制是发现违规行为、震慑潜在威胁的关键。一、全程操作审计外包人员通过堡垒机进行的所有运维操作，必须实施全程的字符级命令审计和图形级屏幕录像。审计内容应包括：操作时间、源IP、目标IP、执行账号、操作命令、执行结果等。审计日志必须定期备份，保存期限不少于6个月，对于关键系统日志保存期限不少于3年。二.异常行为监测利用安全信息与事件管理系统（SIEM）或用户实体行为分析（UEBA）系统，对外包人员的网络行为和操作行为进行实时分析，重点监测以下异常：1.非工作时间（如深夜、凌晨）的异常登录与操作。2.短时间内大量访问敏感数据或频繁进行数据导出操作。3.尝试访问越权目录或未授权的高危命令。4.同一账号在短时间内从相距较远的地理位置登录。5.频繁的连接失败尝试，可能预示着暴力破解攻击。一旦发现上述异常行为，系统应立即触发告警，并发送至信息安全中心值班人员。三、定期审计报告信息安全部门应每月出具《外包人员安全审计报告》，内容包括：外包人员账号变动情况；权限申请与回收统计；高危操作汇总；异常行为分析及处置情况；终端合规性检查结果。该报告应上报至管理层，并抄送各业务主管部门。第八章违规处理与应急响应为维护制度的严肃性，对外包人员的违规行为必须建立明确的惩戒机制，并制定应急响应预案。一、违规分级与处罚根据违规行为的性质与危害程度，将违规分为一般违规、严重违规和重大违规三个等级：违规等级定义描述处罚措施一般违规未按规定佩戴工牌、终端未及时更新补丁、未按时通过安全考试等。口头警告、责令限期整改、通报服务商。严重违规共享账号、弱口令、私自接入个人设备、非工作目的浏览无关网站等。暂停账号权限7天、扣除服务商当月服务费分值、强制重新培训。重大违规窃取或泄露敏感数据、恶意破坏系统、植入恶意代码、转包核心业务权限等。立即终止合同、永久拉黑人员、追究法律责任、索赔经济损失。二、应急响应流程当发现外包人员涉嫌引发安全事件时，应立即启动应急响应流程：1.紧急阻断：根据应急预案，第一时间冻结该外包人员的所有账号，断开其网络连接，封禁相关终端设备访问内网。2.现场保护：如涉及物理办公区域，应立即保护现场，封存相关设备与介质，防止证据灭失。3.取证分析：由信息安全专家团队对相关日志、镜像文件进行深度取证，还原攻击路径，确定影响范围。4.影响评估：评估事件对业务连续性及数据资产造成的损失。5.恢复处置：在清除威胁后，由专业技术人员恢复受影响的系统与数据。6.责任追究：根据调查结果，依据合同条款对相关外包服务商及责任人进行追责。第九章离岗与权限回收外包人员离职或项目结束时，如权限回收不及时，极易形成“后门”隐患。因此，必须建立严格的离岗权限回收机制。一、离职通知流程人力资源部门或业务主管部门应在确定外包人员离职的当日，通过邮件或工单系统正式通知信息安全部门。通知内容应包含：人员姓名、工号、预计最后工作日、需回收的系统资源清单。二、权限回收执行信息安全部门接到通知后，应在4小时内完成以下操作：1.注销其在统一身份认证平台中的账号。2.回收其在所有业务系统、网络设备、数据库中的访问权限。3.吊销其数字证书、VPN权限及门禁卡权限。4.在堡垒机中标记该账号为“失效”状态，确保无法再次登录。5.清理其配发的终端设备中的企业数据，并重置设备出厂设置。三、离职审计在权限回收完成后，信息安全部门应生成《离职人员权限清理审计报告》，确认所有权限均已清除，无遗漏。同时，应检查该人员离职后的操作日志，确认其在最后工作日内无异常批量下载或破坏性操作。对于长期未活跃（如超过30天无登录记录）的外包账号，系统应自动触发挂起流程，经业务部门确认仍需保留后方可激活，否则直接注销。第十章附则本细则由企业信息安全委员会