当前位置 > 首页 > 规章制度 > 正文
湖南涉外经济学院信息系统访问控制规定
日期: 2014年09月24日 10:17  点击:[]


湖南涉外经济学院信息系统访问控制规定

本规定适用于湖南涉外经济学院所有信息系统,以严格控制信息系统的合法访问权限,保证信息系统的安全。

一、 用户权限申请与变更(含服务器与应用系统)

1、  用户权限的授予因符合以下原则

             1)   保密原则。系统使用人员应树立保密观念,增强保密意识。如由于个人行为不当引起信息泄密造成学校任何损失,个人都应承担赔偿责任。

             2)   权限设置与岗位分工相一致原则。针对不同的岗位、不同人员、不同分工,仅授予其履行工作职责必需的权限。当员工的工作岗位发生变动时,其在系统中的权限应当同时进行相应变动。

             3)   任何人不得与他人共用账号,不得将自己的账号和密码转借他人使用。

             4)   不相容权限相互分离、制约和监督原则。服务器的管理员权限、数据库的管理员权限和应用层面的用户管理员权限应分离;应用层面的用户管理员不能被赋予业务操作的权限,也不能具有修改或删除系统日志的权限;业务的经办和复核的权限应严格分离,任何人不能拥有在系统中复核自己经办的业务的权限;主数据维护的权限应严格限制,仅赋予极个别需要的人员。

2、   用户权限申请和变更都需填写《系统权限变更申请表》(见附件一),经适当的审批后才能进行操作。这里所指的用户权限申请和变更包括新申请账号、因工作岗位职责变动需变更原有的账号权限、删除账号、忘记密码申请密码重置等。

              1)   服务器上的用户权限申请和变更由信息中心进行审批。

              2)   应用系统的用户权限申请和变更的审批层级由各应用系统的使用部门自行决定,并在应用系统管理细则中详细说明。

3、   用户权限应定期检查确保没有非法变更。负责部门定期安排专人(至少两人)共同检查服务器访问列表,确保所有账号都由在职人员持有、权限与岗位职责相符、未开启不必要的默认账户/远程访问端口/共用账户、未发现非授权的默认账户/远程访问端口/共用账户的使用记录等,并在检查中关注是否存在不符合密码规则的密码使用情况。检查人及时跟进解决发现的任何问题。检查人将当时的账号和权限列表导出或打印出屏拷,记录检查内容、发现的任何问题和跟进处理结果,并双人共同签字存档。

              1)   服务器层面:由信息中心安排检查。

              2)   应用系统层面:由各应用系统的使用部门安排检查。

二、 密码设置要求(含服务器和应用系统账号

1、  用户密码设置必须符合以下要求:至少6位以上,且由数字、大写字母、小写字母、非字母字符号中的两种组成。

2、  用户初次登录须立即更改密码;忘记密码时,应填写《系统权限变更申请表》,由申请人直接主管签批后,系统管理员向其提供临时密码,并将申请表存根。

3、  不得将密码以明文形式保存在任何介质上。不得随意将密码泄露给他人。

4、  密码必须至少每90天以内更改一次,并不能重用前10次用过的密码。

三、 服务器操作系统访问控制要求

1、  必须设置允许不成功登录尝试的次数最多是5次,超过5次即锁定用户帐号30分钟。

2、  如在30分钟内无任何操作,系统必须设置自动断开连接。

3、  服务器必须设置日志记录登录成功和失败的信息。

4、  服务器必须设置登录时不显示上次登录名。

5、  只能安装必要软件或组件。

6、  除必要系统端口,其他端口必须关闭。

7、  如无必要,严禁开放共享文件夹。

四、 应用系统访问控制要求

1、  应用系统个人用户必须通过实名账号和密码登录,并对所有登录成功、失败的情况进行日志记录。

2、  涉密和关键的应用系统必须安装在单独的服务器上。

3、  用户进程在空闲30分钟后应强制关闭。

五、 网络访问控制要求

1、  根据系统的重要性,必须针对业务系统划分不同的网络区域进行保护。

2、  对各类硬件设备的远程维护必须采用加密通信协议(如SSHHTTPS)。

3、  网络安全设备上未使用的端口都必须关闭。

4、  用户进程在空闲30分钟后应强制关闭。

六、 附加说明

本文件由院办信息中心起草,并归口解释管理。

附件

附件一系统权限变更申请表


附件一:          系统权限变更申请表

系统权限变更申请表

申请栏(申请人填写)

系统名称

申请人姓名

所在部门

申请人岗位

联系方式

申请事项

新申请账号     变更原有的账号权限    删除账号

申请密码重置   □ 申请使用临时账号

□ 其他,请注明                                                        

申请原因说明

申请人申明

以上信息完全属实,特此申明。

签名:                        日期:            

审批栏(审批人填写)

部门主管意见

XX意见

XX意见

执行栏(执行人填写)

执行情况

   已按以上申请内容执行完毕。

   已邮件通知账号持有人及其直接部门领导执行结果。

执行人签名:                     日期: