HYK-MS-217 用户访问管理程序.docVIP

第PAGE\*Arabic4页共7页

深圳市企启信息科技有限公司

用户访问管理程序

文档编号：HYK-MS-217

版本信息：V1.0

创建人：信息安全与隐私安全小组

审核者：周静

批准人：黄伟

编制日期：2022年5月10日

批准日期：2022年5月10日

文件变更记录

版本

变更描述

日期

修订人

批准日期

批准人

V1.0

初始版本，文档建立

2022年5月10日

周静

2022年5月10日

黄伟

目录

TOC\o1-2\h\u68891.目的 4

216612.范围 4

303613.职责 4

142793.1各部门 4

3943.2业务部门 4

133863.3行政部 4

10584.相关文件 4

214435.程序 5

2725.1访问控制策略 5

224095.2用户访问管理 5

246235.3用户口令管理 6

277745.4外来人员物理访问 7

136966.记录 7

1.目的

为对本组织各种应用系统的用户访问权限（包括特权用户及相关方用户)实施有效控制，杜绝非法访问，确保系统和信息的安全，特制定本程序。

2.范围

本程序适用于本组织的各种应用系统涉及到的逻辑访问的管理。

3.职责

3.1各部门

负责访问权限的申请、审批。

3.2业务部门

负责访问控制的技术管理以及访问权限控制和实施。

3.3行政部

负责向各部门通知人事变动情况。

负责外来人员物理访问控制。

4.相关文件

《HYK-MS-211信息和隐私安全风险管理程序》

《HYK-MS-216安全区域管理程序》

《HYK-MS-218第三方服务管理程序》

《HYK-MS-219相关方信息安全及隐私信息管理程序》

《HYK-MS-220信息分类管理程序》

《HYK-MS-217-S01信息系统安全访问管理制度（征求意见稿）》

5.程序

5.1访问控制策略

组织内的信息根据机密等级，分别向不同职位的员工公开。

组织的宣传文件、制度、培训材料、参考文献可向全体员工公开；

人事信息只对总经理和行政部开放；

财务信息只对总经理开放；

业务信息只在相关业务人员间公开；

信息部人员根据不同类别的信息，设置其访问权限；

用户不得访问或尝试访问未经授权的网络、系统、文件和服务；

各系统信息安全及隐私信息管理小组应编制《HYK-MS-217-R03系统访问权限说明书》，明确规定访问规则。

5.2用户访问管理

5.2.1权限申请

所有用户，包括相关方人员均需要履行访问授权手续。申请部门根据业务、管理工作的需要，确定需要访问的系统和访问权限，经过本部门经理同意后，提交《HYK-MS-217-R01用户访问授权申请表》，在《HYK-MS-217-R01用户访问授权申请表》上登记。

《HYK-MS-217-R01用户访问授权申请表》应对以下内容予以明确:

权限申请人员；

访问权限的级别和范围；

申请理由；

有效期。

经行政部审核批准后，将《HYK-MS-217-R01用户访问授权申请表》交有关部门实施授权。

相关方和第三方服务人员的访问申请由负责接待的部门按照上述要求予以办理。但相关方和第三方服务人员一般不允许成为特权用户。必要时，相关方人员需与访问接待部门签订相关方必威体育官网网址协议或第三方服务必威体育官网网址协议。

5.2.2权限变更

对发生以下情况对其访问权应从系统中予以注销：

内部用户雇佣合同终止时；

内部用户因岗位调整不再需要此项访问服务时；

相关方访问合同终止时；

其它情况必须注销时。

由于用户变换岗位等原因造成访问权限变更时，用户应重新填写《HYK-MS-217-R01用户访问授权申请表》，按照本程序5.2.1的要求履行授权手续。行政部应将人事变动情况及时通知各部门，IT管理员进行权限设置更改。

特权用户因故暂时不能履行特权职责时，根据需要可以经授权部门主管批准后，将特权临时转交可靠人员；特权用户返回工作岗位时，收回临时特权人员的特权。

5.2.3用户访问权的维护和评审

对于任何权限的改变（包括权限的创建、变更以及注销），应进行记录，填写《HYK-MS-217-R01用户访问授权申请表》包括：

权限开放/变更/注销时间；

变化后权限内容；

开放权限的管理员。

信息部每半年应对访问权限进行检查，发现不恰当的权限设置，应予以调整。

信息部每季度应对特权用户访问权限进行检查，发现过期的权限设置，应予以注销。

信息部应对访问权限的检查结果应记录在《HYK-MS-217-R04访问权限评审记录》上。

5.3用户口令管理

应按以下过程对被授权访问该系统的用户口令予以分配：

分配给用户一个安全临时口令，并通过安全渠道传