为加强重庆XX中学信息系统账号和口令管理，通过控制用户口令、权限，实现控制访问权限分配，防止对重庆XX中学网络的非授权访问，特制订本管理办法。
第一章 目的
第一条 为加强重庆XX中学信息系统账号和口令管理，通过控制用户口令、权限，实现控制访问权限分配，防止对重庆XX中学网络的非授权访问，特制订本管理办法。
第二条 所有使用重庆XX中学网络信息系统的人员。
第三条 重庆XX中学所有使用信息系统的人员均需遵守本管理办法规定，网络安全办公室负责建立账号和口令管理的规范并推动执行、审核和检查落地执行情况。
第四条 术语和定义
内部网络：是指在重庆XX中学内部所有客户端等组成的局域网。包括但不限于数据库系统等。
第五条 用户注册
- 新用户必须经网络管理员授权接入，否则不允许入网。
- 用户账号由网络管理员在该用户上岗使用重庆XX中学网络系统前建立,命名原则为职工工号。
- 一自然人对应一个系统账号，以便将用户与其操作联系起来，使用户对其操作行为负责。
- 用户因工作变更或离开重庆XX中学时， 管理员要及时取消或者锁定该用户所有账号，对于无法锁定或者删除的用户账号采用更改口令等相应的措施规避风险。
- 系统管理员应定期检查并取消多余的用户账号。
第六条 权限管理
- 网络安全办公室系统管理员负责分配新用户系统权 限，负责审批用户权限变更申请是否与信息安全策略相违背。
- 特权用户必须按授权程序通过系统等部门主管批准， 才可给予相应的权限。
- 系统管理员应保留所有特权用户的授权程序与记录。
- 权限设定要明细化，尽可能减少因拥有的权限化分较粗带来的不正当信息访问或误操作等现象的发生。若某些权限无法细分，则需加强对用户的单独监控。
- 只有工作需要的信息访问要求，才可授权。每个人分配的权限以完成本岗位工作最低标准为准。
- 系统管理员对分配的所有权限记录进行维护。不符合授权程序，则不授予权限。
- 对于重庆XX中学外的用户，需要访问重庆XX中学内部资源时，需要由用户的接待者申请为其办理授审批程序。
第七条 口令的选择
口令的选择应参考以下规则：
- 最少要有 8 个字符，必须由字母、数字、大小写以及特殊字符组成。
- 不要使用别人通过个人相关信息（如姓名、电话号码、生日等）容易猜出或破解的口令。
第八条 口令管理和使用
- 员工应了解进行有效访问控制的责任，特别是口令使用和员工设备安全的责任；
- 员工应保证口令安全，不得向其他任何人泄漏。对于泄漏口令向造成的损失，由员工本人负责；
- 不要共享个人口令；
- 应避免在纸上记录口令，或以明文方式记录计算机内；
- 不要在任何自动登录程序中使用口令，如在宏或功能键中存储；
- 用户忘记口令时，管理员必须在对该用户进行适当的身份识别后才能向其提供临时口令；
- 常规情况下，用户自主口令至少每季度更改一次， 系统口令可半年更改一次，且避免再次使用旧口令或循环使用旧口令；
- 允许用户选择和变更他们自己的口令，并且包括确认程序，以便考虑到输入出错的情况；
- 在第一次登录时强制用户变更临时口令；
- 存储口令文件的存储应和系统数据相分开，并采用安全方式存储和传输口令。
第九条 用户访问权限检查
- 定期检查用户的账号及其权限，保留检查记录；
- 重点检查有特权的账号，是否存在特权使用期限过期。
第十条 帐号建立流程
新建账号由个人或使用人提交申请单，经部门领导、信息中心领导审批确认后，由网络安全办公室指定专人进行账号开通、权限配置工作，并反馈申请人配置结果。
第十一条 帐号删除流程
管理员定期（半年）对现有账号进行清理，发现有超过6 个月未登录/使用的账号对其禁用，期间账户所有者可申请账号的重新启用，禁用的账号将保存 6 个月，若仍未启用将进行删除操作。
上一篇：恶意代码防范管理制度
下一篇：网络信息系统变更管理程序
相关文章
-
数据中心的主机安全建设，系统加固策略
数据中心的主机包括物理服务器和虚拟化云主机，所有主机都面临入侵和攻击的风险。主机安全主要包括两个方面： 对于数据中心的服务器和云主机，无论系统或应用本身安全与否，都可能存在漏洞，安全管理员应负责定期（例如 1 月/次）对包括物理服务器和云主机等进行安全加固。系统加固策略包括： 1、使用 GRUB 的 password 参数对 GRUB 设置密码，防止通过编辑 GRUB 启动参数轻松的进入单用户模式从而修改 root 密码，从而造成安全隐患； 2、对 ssh 服务进行加固，关闭 root 账号远程…
-
GB/T 42583-2023 信息安全技术 政务网络安全监测平台技术规范
《GB/T 42583-2023 信息安全技术 政务网络安全监测平台技术规范》是中国国家标准委员会发布的一项标准，旨在为政务网络安全监测平台的建设、实施和管理提供技术规范。随着信息化建设的不断推进，政务信息系统已经成为政府运营和服务的重要组成部分，其安全性直接关系到国家和社会的稳定。因此，建立有效的政务网络安全监测平台，确保政府信息系统的安全防护和应急响应能力，是当前网络安全建设中的重要任务之一。 该标准为政务网络安全监测平台的构建提供了详细的技术框架、功能要求、安全策略等内容，确保平台能够全面…
-
PKI/CA 身份认证系统具备哪些功能
PKI/CA 身份认证平台通过发放和维护数字证书来建立一套信任网络，在同一信任网络中的用户通过申请到的数字证书来完成身份认证和安全处理。PKI 从技术上解决了网络通信安全的种种障碍，CA 从运营、管理、规范、法律、人员等多个角度来解决了网络信任问题。 数据中心 PKI/CA 身份认证平台功能如下： 1. CA 系统 1、证书管理：包括证书申请、证书下载、证书更新、证书注销、证书冻结、证书解冻、证书查询、证书归档； 2、模板管理：包括通用证书模板、签名证书模板、加密证书模板、设备证书模板、SSL …
-
数据中心如何管理系统漏洞？如何部署漏洞扫描系统
系统漏洞扫描平台用于发现数据中心安全漏洞，是一个非常有效的安全防预措施。随着当前业务的日趋庞大，在数据中心中业务在物理或逻辑部署上均出现了多点部署的现象，单一化、单点化的扫描器往往不能适用业务平台的高速发展和业务的复杂性。数据中心有大数量级的服务器/IT设备，安全工程师每天使用不同的工具对这些服务器进行安全扫描，是一个庞大、重复性很高的工作。 实现自动化的多类型扫描器的整合和分布式化部署，能够有效解决业务多点化、多样化的安全问题覆盖和发现，解脱安全工程师的重复性安全扫描工作。 1、平台实现了多个…
-
信息安全教育培训管理制度
信息安全培训旨在强化全体人员的信息安全意识，使之明确信息安全是每个人的责任，并掌握其岗位所要求的信息安全操作技能。 第一章 目的 第一条 为加强信息安全建设，提高全体人员的信息安全意识和技能，保障信息系统安全稳定的运行，特制定本制度。 第二章 总则 第二条 信息安全培训旨在强化全体人员的信息安全意识，使之明确信息安全是每个人的责任，并掌握其岗位所要求的信息安全操作技能。 第三章 管理细则 第三条 培训计划 针对不同的培训对象进行分层次的培训，信息安全培训分为管理层培训、…
-
关键信息基础设施运营者如何制修订安全管理制度
笔者在《浅谈关键信息基础设施运营者专门安全管理机构的组建》一文中，介绍了运营者的专门安全管理机构的组建。今天，笔者与各位读者分享运营者应如何制修订安全管理制度，以满足关键信息基础设施安全保护工作的需要。 1. 制修订安全管理制度的必要性 安全管理制度在关键信息基础设施保护工作中起约束和控制作用，安全制度不健全，或者不能贯穿关键信息基础设施保护的各环节、各阶段，特别是“老制度管新技术”，缺乏动态的、持续的管理制度，加之内部制约机制不完善、检查督导不到位，可能会导致网络安全风险隐患无法得到及时识别、…
