帳號(hào)口令管理制度-資料下載頁(yè)
2025-01-16 01:08本頁(yè)面
【正文】 色模型的授權(quán)體系，如由于系統(tǒng)本身的功能限制不能建立模型，則應(yīng)該盡力向本模型靠攏： 每個(gè)應(yīng)用的操作、命令和數(shù)據(jù)都可以進(jìn)行針對(duì)角色的分別授權(quán)，我們先根據(jù)這些操作、命令和數(shù)據(jù)劃分出一些最基本的細(xì)分角色，例如對(duì)于系統(tǒng)管理員可以細(xì)分為數(shù)據(jù)管理員、備份管理員、用戶和角色管理員、開(kāi)/關(guān)機(jī)管理員、日常操作維護(hù)管理員、災(zāi)難恢復(fù)管理員等等，然后根據(jù)實(shí)際的工作崗位建立集成的高級(jí)角色，用戶可以被賦予一個(gè)或者多個(gè)高級(jí)角色。具體規(guī)范和原則如下：細(xì)分角色根據(jù)應(yīng)用的特性和功能長(zhǎng)期存在，基本不隨人員和管理崗位的變更而變更角色對(duì)應(yīng)部門崗位，不對(duì)應(yīng)人員，人員的更換不對(duì)角色產(chǎn)生影響，崗位變化導(dǎo)致高級(jí)角色的變化一個(gè)用戶根據(jù)實(shí)際情況可以分配多個(gè)高級(jí)角色審計(jì)人員權(quán)限的界定應(yīng)用系統(tǒng)和業(yè)務(wù)系統(tǒng)應(yīng)該設(shè)置審計(jì)用戶的權(quán)限，審計(jì)用戶應(yīng)當(dāng)具備比較完整的讀權(quán)限，審計(jì)用戶應(yīng)當(dāng)能夠讀取系統(tǒng)關(guān)鍵文件，檢查系統(tǒng)設(shè)置、系統(tǒng)日志等，盡量避免審計(jì)用戶有寫、變更或者執(zhí)行的權(quán)限。審計(jì)人員分為二種：內(nèi)部審計(jì)人員：此種用戶長(zhǎng)期存在，通常為系統(tǒng)管理員，授權(quán)方法同樣采用最小授權(quán)原則，管理方法等同內(nèi)部帳號(hào)管理。外部審計(jì)人員（例如安全評(píng)估人員和審計(jì)公司）：外部審計(jì)人員應(yīng)該提供審計(jì)帳號(hào)需要的權(quán)限，該權(quán)限應(yīng)符合最小授權(quán)原則，審計(jì)人員需明確審計(jì)的方案，包括具體可能執(zhí)行的審計(jì)命令，該帳號(hào)應(yīng)明確設(shè)置過(guò)期時(shí)間，并注意不應(yīng)選擇弱口令。審計(jì)過(guò)程中，我方人員應(yīng)該全程陪同。第三方人員權(quán)限設(shè)定第三方人員開(kāi)發(fā)權(quán)限管理應(yīng)滿足以下：第三方人員擁有電信任何系統(tǒng)上的權(quán)限的前提是其所屬的公司必須與電信簽署保密協(xié)議，保證該第三方不濫用權(quán)限和帳號(hào)。第三方人員必須認(rèn)真閱讀本規(guī)范，保證遵守本規(guī)范涉及的所有原則。第三方人員帳號(hào)的申請(qǐng)同樣需要遵守帳號(hào)的申請(qǐng)、變更和撤消的流程。第三方人員的帳號(hào)必須設(shè)置到期時(shí)間。在代維的情況下，代維人員可以在生產(chǎn)系統(tǒng)上擁有帳號(hào)，但超級(jí)用戶權(quán)限應(yīng)該由電信人員管理，應(yīng)該明確代維人員如何使用帳號(hào)以及必須遵守的規(guī)則，明確電信公司如何進(jìn)行考核審計(jì)。在非代維的情況下，第三方人員不應(yīng)在生產(chǎn)系統(tǒng)上長(zhǎng)期擁有任何帳號(hào)和權(quán)限。第三方人員需要使用超級(jí)用戶權(quán)限時(shí)，應(yīng)該在電信人員的陪同下進(jìn)行操作，操作完畢后，系統(tǒng)管理員應(yīng)當(dāng)立即變更用戶口令，應(yīng)該盡量避免該類行為。第三方人員應(yīng)該明確提出需要的權(quán)限供電信批準(zhǔn)，第三方公司人員應(yīng)該保證每個(gè)人員擁有單獨(dú)帳號(hào)，而不混用，這要求第三方公司配合人員較為固定，便于審計(jì)和事故追查。在專用開(kāi)發(fā)和測(cè)試系統(tǒng)上，可以較為寬松地對(duì)第三方開(kāi)發(fā)人員設(shè)定對(duì)操作系統(tǒng)、數(shù)據(jù)庫(kù)、中間件系統(tǒng)、應(yīng)用相關(guān)的帳號(hào)和權(quán)限，但也應(yīng)滿足本規(guī)范的要求。對(duì)于基于研發(fā)的四級(jí)保障系統(tǒng)，生產(chǎn)系統(tǒng)和開(kāi)發(fā)系統(tǒng)必須嚴(yán)格隔離。開(kāi)發(fā)者不允許對(duì)生產(chǎn)系統(tǒng)有長(zhǎng)期訪問(wèn)權(quán)限，如果需要處理故障，應(yīng)該臨時(shí)申請(qǐng)帳號(hào)進(jìn)行故障處理，但是不允許在生產(chǎn)系統(tǒng)直接修改和調(diào)試。對(duì)于基于研發(fā)的需要三級(jí)保障的系統(tǒng)也建議隔離生產(chǎn)和開(kāi)發(fā)系統(tǒng)。三級(jí)保障系統(tǒng)如果不能分離生產(chǎn)系統(tǒng)和開(kāi)發(fā)系統(tǒng)，應(yīng)該采用全程控制的開(kāi)發(fā)管理，開(kāi)發(fā)人員不允許自行創(chuàng)建新的schema對(duì)象。所有需要的表、索引、進(jìn)程等均應(yīng)該由開(kāi)發(fā)者提出申請(qǐng)，數(shù)據(jù)庫(kù)的系統(tǒng)管理員創(chuàng)建。根據(jù)具體情況，可以開(kāi)放一些存儲(chǔ)過(guò)程的權(quán)限，但是應(yīng)該明確進(jìn)行定義。 附件表格一：帳號(hào)生成申請(qǐng)表 申請(qǐng)人 所屬班組 帳號(hào)申請(qǐng)目的 需要申請(qǐng)帳號(hào)的業(yè)務(wù)系統(tǒng) 帳號(hào)名及需要權(quán)限描述 系統(tǒng)管理員意見(jiàn)及簽字 部門安全管理員意見(jiàn)及簽字 部門經(jīng)理意見(jiàn)及簽字 系統(tǒng)管理員帳號(hào)生成完畢簽字 帳號(hào)接收完畢簽字 表格二：帳號(hào)變更申請(qǐng)表 申請(qǐng)人 所屬班組 工作崗位描述 需要變更帳號(hào)的業(yè)務(wù)系統(tǒng) 帳號(hào)名及需要變更權(quán)限描述 系統(tǒng)管理員意見(jiàn)及簽字 部門安全管理員意見(jiàn)及簽字 部門經(jīng)理及意見(jiàn)及簽字 系統(tǒng)管理員帳號(hào)變更完畢簽字 帳號(hào)接收完畢簽字 表格三：帳號(hào)撤銷申請(qǐng)表 申請(qǐng)人 所屬班組 撤消原因描述 需要撤消帳號(hào)的業(yè)務(wù)系統(tǒng) 帳號(hào)名及需要撤銷權(quán)限描述 系統(tǒng)管理員意見(jiàn)及簽字 部門安全管理人員意見(jiàn)及簽字 系統(tǒng)管理員帳號(hào)撤消完畢簽字 表格四：帳號(hào)登記表（實(shí)際操作建議使用電子管理系統(tǒng)實(shí)現(xiàn)） 申請(qǐng)人 變更原因 帳號(hào)名稱 所屬業(yè)務(wù)系統(tǒng) 系統(tǒng)管理員 變更詳細(xì)內(nèi)容描述 變更時(shí)間 備注 備注可選的記錄字段還包括：、聯(lián)系郵件、批準(zhǔn)人、審核人、職務(wù)、有效時(shí)間第 PAGE 2 頁(yè) 共 NUMPAGES 30 頁(yè)
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1