为加强重庆XX中学信息系统账号和口令管理，通过控制用户口令、权限，实现控制访问权限分配，防止对重庆XX中学网络的非授权访问，特制订本管理办法。
第一章 目的
第一条 为加强重庆XX中学信息系统账号和口令管理，通过控制用户口令、权限，实现控制访问权限分配，防止对重庆XX中学网络的非授权访问，特制订本管理办法。
第二条 所有使用重庆XX中学网络信息系统的人员。
第三条 重庆XX中学所有使用信息系统的人员均需遵守本管理办法规定，网络安全办公室负责建立账号和口令管理的规范并推动执行、审核和检查落地执行情况。
第四条 术语和定义
内部网络：是指在重庆XX中学内部所有客户端等组成的局域网。包括但不限于数据库系统等。
第五条 用户注册
- 新用户必须经网络管理员授权接入，否则不允许入网。
- 用户账号由网络管理员在该用户上岗使用重庆XX中学网络系统前建立,命名原则为职工工号。
- 一自然人对应一个系统账号，以便将用户与其操作联系起来，使用户对其操作行为负责。
- 用户因工作变更或离开重庆XX中学时， 管理员要及时取消或者锁定该用户所有账号，对于无法锁定或者删除的用户账号采用更改口令等相应的措施规避风险。
- 系统管理员应定期检查并取消多余的用户账号。
第六条 权限管理
- 网络安全办公室系统管理员负责分配新用户系统权 限，负责审批用户权限变更申请是否与信息安全策略相违背。
- 特权用户必须按授权程序通过系统等部门主管批准， 才可给予相应的权限。
- 系统管理员应保留所有特权用户的授权程序与记录。
- 权限设定要明细化，尽可能减少因拥有的权限化分较粗带来的不正当信息访问或误操作等现象的发生。若某些权限无法细分，则需加强对用户的单独监控。
- 只有工作需要的信息访问要求，才可授权。每个人分配的权限以完成本岗位工作最低标准为准。
- 系统管理员对分配的所有权限记录进行维护。不符合授权程序，则不授予权限。
- 对于重庆XX中学外的用户，需要访问重庆XX中学内部资源时，需要由用户的接待者申请为其办理授审批程序。
第七条 口令的选择
口令的选择应参考以下规则：
- 最少要有 8 个字符，必须由字母、数字、大小写以及特殊字符组成。
- 不要使用别人通过个人相关信息（如姓名、电话号码、生日等）容易猜出或破解的口令。
第八条 口令管理和使用
- 员工应了解进行有效访问控制的责任，特别是口令使用和员工设备安全的责任；
- 员工应保证口令安全，不得向其他任何人泄漏。对于泄漏口令向造成的损失，由员工本人负责；
- 不要共享个人口令；
- 应避免在纸上记录口令，或以明文方式记录计算机内；
- 不要在任何自动登录程序中使用口令，如在宏或功能键中存储；
- 用户忘记口令时，管理员必须在对该用户进行适当的身份识别后才能向其提供临时口令；
- 常规情况下，用户自主口令至少每季度更改一次， 系统口令可半年更改一次，且避免再次使用旧口令或循环使用旧口令；
- 允许用户选择和变更他们自己的口令，并且包括确认程序，以便考虑到输入出错的情况；
- 在第一次登录时强制用户变更临时口令；
- 存储口令文件的存储应和系统数据相分开，并采用安全方式存储和传输口令。
第九条 用户访问权限检查
- 定期检查用户的账号及其权限，保留检查记录；
- 重点检查有特权的账号，是否存在特权使用期限过期。
第十条 帐号建立流程
新建账号由个人或使用人提交申请单，经部门领导、信息中心领导审批确认后，由网络安全办公室指定专人进行账号开通、权限配置工作，并反馈申请人配置结果。
第十一条 帐号删除流程
管理员定期（半年）对现有账号进行清理，发现有超过6 个月未登录/使用的账号对其禁用，期间账户所有者可申请账号的重新启用，禁用的账号将保存 6 个月，若仍未启用将进行删除操作。
上一篇：恶意代码防范管理制度
下一篇：网络信息系统变更管理程序
相关文章
-
GB/T 25058-2019 信息安全技术 网络安全等级保护实施指南.pdf
随着数字化时代的加速发展，网络安全问题日益严峻，信息系统的安全防护已成为国家、企业及个人共同关注的重点。为了规范和指导我国各类信息系统开展网络安全等级保护工作，《信息安全技术 网络安全等级保护实施指南》（GB/T 25058-2019）应运而生。该标准由中国电子技术标准化研究院牵头制定，于 2019 年正式发布并实施，是落实《网络安全法》中关于网络安全等级保护制度的重要技术支撑文件。该指南为不同等级的信息系统提供了从定级、备案、建设整改到等级测评的全过程实施路径，具有高度的实用性和指导性。 本标…
-
一家三甲医院，需要部署哪些网络安全设备？
随着信息化建设的不断发展，信息系统在三甲医院中的角色也越来越重要，其所面临的安全挑战也不断涌现，患者隐私泄露、挂号系统中断以及木马病毒攻击直接威胁到医院运行秩序和信息系统安全。为进一步做好医院信息安全保护工作，卫生部曾下发《卫生行业信息安全等级保护工作的指导意见》的通知，通知明确了三甲医院的核心业务系统应按照信息安全等级保护第三级进行建设和保护。 根据 2018 年 4 月国家卫生健康委员会规划与信息司、国家卫生健康委员会统计信息中心所颁布的《全国医院信息化建设标准（试行）》中的各项条例，各等级…
-
电信和互联网企业网络数据安全合规性评估要点（2020 版）
为进一步指导电信和互联网企业做好网络数据安全合规性评估工作，提升数据安全保护水平，依据《网络安全法》《电信和互联网用户个人信息保护规定》等法律法规，参考《信息安全技术个人信息安全规范》等标准规范，制定本要点，供各企业在网络数据安全合规性评估中使用。 《电信和互联网企业网络数据安全合规性评估要点（2020 版）》主要包括以下几个方面：
-
网络安全应急预案模板、安全应急响应方案
为提高应对突发网络安全能力，维护网络安全和社会稳定，保障世博展览馆各项工作正常开展，特制定本预案。根据网络安全的发生原因、性质和机理，网络安全主要分为以下三类: 攻击类事件：指网络系统因计算机病毒感染、非法入侵等导致业务中断、系统宕机、网络瘫痪等情况。 故障类事件：指网络系统因计算机软硬件故障、人为误操作等导致业务中断、系统宕机、网络瘫痪等情况。 灾害类事件：指因爆炸、火灾、雷击、地震、台风等外力因素导致网络系统损毁，造成业务中断、系统宕机、网络瘫痪等情况。 那么针对以上三类网络安全事件，作为甲…
-
信息工程中保证工程质量的技术措施
施工质量管理是施工组织设计重要的一环。本项目工程建设要上一个新台阶，必须大力加强质量意识的建设。质量不断改进和提高，是我公司经营管理工作中一个永恒的主题，也是工程项目建设永远不老的课题。 1. 保证工程质量的技术措施 加强技术管理，严格执行各种施工安装规范标准和操作规程，加强工程通病的预控工作，抓紧实现一次合格制度，坚持分项、分部的工程安装质量评定工作，及时填写各项工程验收报表、记录，在施工中加强资料收集和管理工作及时总结经验。 强化全体施工人员的质量意识，配备有经验的工程技术人员和技师工长，坚…
-
XXX 信息系统网络安全服务内容和技术要求
面对当前信息系统安全面临的复杂、严峻形势，基础信息网络和重要信息系统一旦出现大的信息安全问题，不仅仅影响本单位、本行业，而是直接威胁社会稳定、经济发展甚至国家安全。因此，XXX 信息系统有必要进一步完善和加强信息安全保障体系。信息安全建设重在安全保障体系的建设，它是一个循序渐进、不断完善的过程，较好的方式是信息安全建设与系统建设同步规划、同步设计。同时，结合等级保护标准，逐步完善和加强安全保障体系建设，与信息安全行业的领先者强强联合，引入专业的安全服务、先进的安全管理理念，有效控制和降低信息系统…
