账号口令管理办法

账户口令管理办法

目录

第一章总则 (4)

1.1概述 (4)

1.2目标 (5)

1.3范围 (5)

1.4要求 (5)

第二章帐号、口令和权限管理的级别 (7)

2.1关于级别 (7)

2.2如何确定级别 (7)

2.3口令、帐号和权限管理级别的定义 (7)

2.3.1等级1 –最低保障 (8)

2.3.2等级2－低保障级别 (8)

2.3.3等级3 –坚固保障级别 (9)

2.3.4等级4 –最高保障等级 (9)

第三章帐号管理 (11)

3.1职责定义 (11)

3.2口令应该以用户角色定义 (11)

3.2.1系统管理员/超级用户 (11)

3.2.2普通帐号 (11)

3.2.3第三方用户帐号 (12)

3.2.4安全审计员帐号 (12)

3.2.5对于各类帐号的要求 (12)

3.3帐号管理基本要求 (13)

3.3.1保障等级一需要遵守的规范 (13)

3.3.2保障等级二需要遵守的规范 (13)

3.3.3保障等级三需要遵守的规范 (13)

3.3.4保障等级四需要遵守的规范 (14)

3.4帐号管理流程 (14)

3.4.1创建用户帐号 (14)

3.4.2变更用户 (17)

3.4.3撤销用户 (19)

3.4.4定期复审 (20)

第四章口令管理 (21)

4.1通用策略 (21)

4.2口令指南 (21)

4.2.1口令生成指南 (21)

4.2.2口令保护指南 (22)

第五章权限管理 (24)

5.1概述 (24)

5.2根据工作需要确定最小权限 (24)

5.3建立基于角色的权限体系 (24)

5.4审计人员权限的界定 (25)

5.5第三方人员权限设定 (26)

第一章总则

1.1 概述

随着XXXX公司业务系统的迅速发展，各种支撑系统和用户数量的不断增加，网络规模迅速扩大，信息安全问题愈见突出，现有的信息安全管理措施已不能满足xxx目前及未来业务发展的要求。主要表现在以下方面：

1.xxxx的信息系统中有大量的网络设备、主机系统和应用系统，分别属于不同的部

门和不同的业务系统，并且由相应的系统管理员负责维护和管理。所有系统具备不

同的安全需求级别，目前没有一个统一的规范描述和区分这种级别，导致对口令、帐号和权限的管理处于较为混乱的状况。

2.由于存在大量的帐号和用户，人员的变化、岗位的变化和需求变化会导致帐号管理

复杂度大大增加，必须有一套完整的帐号管理规范、流程，保证帐号的变化在可管

理、可控制的范畴内。

3.弱口令被猜中后导致系统被入侵是系统被入侵的最主要原因之一，因此如何管理口

令的生命周期，如何设置较强的口令成为当前一个重要的课题。特别是snmp口令

的缺省配置常常成为一个严重的问题。这些问题有些可以通过集中认证、双要素认

证等方式实现，但是最关键的还是应当通过建立规范和指南来实现。

4.即使有良好的帐号流程管理和控制，有正确的口令设置，仍然无法防止内部的滥用

和误用，因为这些滥用和误用的前提通常是用户已经有了一个口令和帐号，因此，必须对用户的权限进行严格的管理和限制，特别是利用系统功能实现最小授权的原

则。

5.由于各个系统存在的信任关系，整个系统一环套一环，一个被击破可能导致全线崩

溃，因此必须保障整个系统达到一致的安全水平。

总之，随着业务系统和支撑系统的发展及内部用户的增加，必须有一套规范可以保障系统的帐号、口令和权限被合理地管理和控制，达到系统对认证、授权和审计的需求。

1.2 目标

本管理办法的主要内容包括：

●定义帐号、口令和权限管理的不同保障级别；

●明确帐号管理的基本原则，描述帐号管理过程中的各种角色和组织职责，确定帐号

管理的流程：包括帐号的申请、变更、注销和审计；

●规定口令管理中的基本要求，例如口令变更频率，口令强度要求，不同类型帐号口

令的要求，提供口令生成的指南；

●确定权限分析和管理的基本原则和规范；

●确定审计需要完成的各项工作；

●给出流程中需要的各种表格。

1.3 范围

●网络和业务系统范围

适用范围包括CMNET、网管、MDCN、BOSS、OA/MIS等西藏电信全网所有计算机信息

系统和IP网络。

●帐号、口令和权限管理包括不同的层次范围

帐号、口令和权限管理涉及网络设备、主机系统、数据库、中间件和应用软件。

1.4 要求

●本规范制定了适合西藏电信的基本准则和级别划分规则，全公司应该遵照第二章

的级别划分要求对所有主机、数据和应用系统进行评估和级别划分，并针对每一

级别，遵循第三、四、五章的要求，明确哪些适合于哪些系统。

●评估报告的内容应该包括：

⏹所有主机资产列表

⏹每台主机/服务器/数据库/应用系统需要的帐号、口令和权限保障级别和原因，

主要评估方法是根据第二章中每一级别的特征逐条比较，选择最为接近的级别

⏹根据第三、四五章的要求，明确每一级别需要遵守的规范细节

●评估过程和方法应该透明，评估报告随评估结果和相关策略一并提交网络与信息安

全办公室。

第二章账户、口令和权限管理的级别

2.1 关于级别

为了实现xxx所有IT信息系统的正常安全运行，我们在这里定义四个口令、帐号和权限管理的保障级别，这些级别确认不同系统对帐号管理的不同需要，不同级别的系统和设备需要不同级别的口令、帐号和权限管理的技术、管理制度和管理流程。通常来说，价值较低的系统被定义为需要较低的保障级别，价值较高的系统被定义为需要较高的保障级别。

2.2 如何确定级别

第一步：对各系统进行一次风险评估，风险评估的结果能够确定系统需要口令、帐号管理权限的保障级别并揭示由于不恰当的口令、帐号和权限管理给西藏电信和我们的客户所带来的危害和后果。由于不恰当的口令、帐号和权限管理给西藏电信和我们的客户所带来的危害和后果越严重，需要的安全措施越高，相应地需要的保障级别也越高。风险评估还应遵照本规范揭示相应的应用系统需要采取何种帐号、口令和权限措施，这些措施应该包括技术措施和管理措施。

第二步：匹配风险评估揭示的风险和口令、帐号和权限需要的保障级别。风险评估的结果应该被总结并得出结论，最终结论与下一节定义的各种级别进行比较，选择最为接近的级别作为该资产或者系统需要的口令、帐号和权限保障级别。当进行确认的时候，应当按照系统没有任何安全措施的情况来进行评估和比较，而不应当在假设某个系统已经使用了某个保障技术的情况下进行比较。另外对于一个系统的保障应该按照该系统可能受到的所有危害的最高级别来匹配保障级别。

第三步：确定使用何种口令、帐号和权限管理、技术措施，具体的结论应该以规范制度的形式加以规定。请注意，由于某些技术本身可能带来一些额外风险，应该确认该技术是否真的达到应用系统对应等级的需求，评估残余风险。

2.3 口令、账户和权限管理级别的定义

本节定义口令、帐号和权限管理需求的四个级别，我们将给出每个级别的特征和相关的