1、版本号版本日期编写人审核人审批人说 明 目 录第一章总则1第二章用户帐号、权限安全管理要求12.1 权限使用的一般原则12.2 用户权限注册及变更22.3 用户权限的注销22.4 用户权限的设置3第三章帐号密码安全要求33.1 帐号密码的使用要求33.2 密码（口令）的设置要求4第四章附则5第一章 总则第一条 为指导在公司范围内的信息系统用户登陆账号安全设置及密码、权限管理工作，保障公司信息系统的安全，制定本细则。第二条 本细则适用于在公司信息系统开发、测试、运维等工作中各类计算机系统用户帐号注册申请、访问授权与撤销以及帐户注销等管理过程。第二章 用户帐号、权限安全管理要求2.1 权限使用的一
2、般原则第三条 用户帐号是信息系统对操作用户身份验证和识别的标识，包括域用户帐号（含电子邮箱帐号）、各种操作系统用户帐号、数据库用户帐号、应用服务用户帐号、网络设备用户帐号。每个操作系统及应用服务使用者，及服务器操作系统、数据库系统、应用服务和网络设备（以下简称“信息系统”）的维护者都有义务了解并遵守用户账号、权限及帐号密码的安全要求。第四条 各信息系统的维护者应自行维护自己所负责信息系统的用户帐号与实际使用者的台帐信息表，并将具有最高权限的用户帐号名及使用者报给信息安全部备案，以便安全管理部门进行审核。第五条 根据用户对系统资源的需求与最小授权原则进行授权。第六条 用户在一个应用系统上只能拥有
3、唯一的一个帐号，不得外泄用户名和密码，不得转借他人使用。第七条 用户应该对其拥有的权限进行确认，表明其了解并接受该权限。第八条 在多用户信息系统中，用户权限注册、变更、注销必须通过审批。第九条 用户工作岗位变动后，管理员应该立即修改其访问权限。第十条 以清单的方式保留权限分配的记录，清单应由权限审批部门统一保管以备信息安全审计使用。2.2 用户权限注册及变更第十一条 各部门人员根据工作需要提出系统或应用程序访问、权限变更的申请，填写用户权限变更申请表，由所在系统的业务责任人或部门经理签字同意。第十二条 用户权限变更申请表需写明所需访问的系统或应用程序名称及所需的用户权限， 第十三条 通过审核审
4、批的用户权限变更申请表送系统或应用程序管理员进行实施，操作人员完成操作后对操作进行签字确认。第十四条 将分配好的权限送申请人，并由申请人签字确认。第十五条 最高权限及特权用户的注册及变更，应在申请人对所有权限签字确认后，交用户权限变更申请表副本给信息安全部备案。2.3 用户权限的注销第十六条 用户需要注销自己的系统或应用程序帐户，应填写用户权限变更申请表申请注销帐户，并由所在部门的经理签字同意。第十七条 用户权限变更申请表需注明原用户帐户的名称及权限等信息，并由申请人签字确认。第十八条 将用户权限变更申请表交系统或应用程序维护部门签署意见，送该系统或应用程序系统管理员实施。第十九条 管理员实施
5、后，将用户权限变更申请表交注销用户原使用人部门负责人进行确认签收，如果注销帐号为最高权限用户或特权用户，在原始用人部门负责人确认签收后交副本给信息安全部备案。2.4 用户权限的设置第二十条 服务器操作系统管理员、应用服务管理员、数据库管理员应根据通过审核的用户权限变更申请表对用户和权限参数进行设置的作业。第二十一条 服务器操作系统管理员、应用服务管理员、数据库管理员将操作执行结果填写在用户权限变更申请表中，将用户权限变更申请表返回该系统或应用服务管理部门负责人。第二十二条 系统或应用服务维护部门经理安排将用户权限变更申请表统一存档以备信息安全审计使用。第二十三条 完成用户权限设置和变更后，通知
6、申请人员本人前来签收。第三章 帐号密码安全要求3.1 帐号密码的使用要求第二十四条 数据库管理员密码和柜台交易系统超级用户密码应依据中国股份有限公司证券营业部柜台交易系统关键用户密码管理制度的有关密码管理及授权操作流程规定管理。第二十五条 所有操作系统的特权帐号密码（例如，root帐号、enable帐号、Windows管理员帐号、应用系统的管理员帐号等）至少一个季度更改一次。第二十六条 各证券营业部要根据自身工作环境，定期进行柜台用户操作人员密码的更改（至少三个月更改一次），防止发生密码泄露。第二十七条 所有的用户级密码（如，email密码、桌面电脑密码等）至少六个月更改一次。第二十八条 所有
7、的用户帐号不能使用空密码。第二十九条 禁止在非加密的电子通讯中传递密码信息。第三十条 在多用户的系统上应该禁止多人公用相同的ID和密码口令，以保证安全责任的明确。第三十一条 定期提醒并强制用户变更密码（适用于支持到期口令自动提示功能的系统）。第三十二条 新帐号初次登录系统时，应强制用户更改初始密码（适用于有此功能的系统）。第三十三条 用户更改密码时，应避免采用在最近两次内使用过的密码。第三十四条 输入密码时，屏幕上密码不能以明文方式显示。第三十五条 应该将应用密码文件与应用系统数据分开存储。第三十六条 密码不能采用自动保存的方式记录在电脑中。第三十七条 远程访问时使用的密码应经过加密传输。第三十八条 密码不得以书面方式放在能够被外人轻易找到的地方。3.2 密码（口令）的设置要求第三十九条 不要使用单一的英语单词或汉语拼音作为密码。第四十条 密码中不要包含个人信息（如姓名、家庭电话等）及公司信息。第四十一条 操作系统管理员密码长度至少在9位以上，密码由不连续数字、字母、符号混合组成。第四十二条 严禁系统关键用户密码重复使用。第四章 附则第四十三条 本细则由总裁办公室负责解释。第四十四条 本细则如与此前发布的相关办法相抵触的，以本细则为准。第四十五条 本细则自发布之日起施行。
