目錄TOC\o"1-5"\h\z\o"CurrentDocument"目錄1\o"CurrentDocument"1目的22范圍2\o"CurrentDocument"3職責2\o"CurrentDocument"4相關文件25程序3\o"CurrentDocument"6記錄5《系統(tǒng)訪問權限說明書》5《用戶訪問授權申請表》5《用戶訪問授權登記表》5《用戶訪問權限評審記錄》51目的為對本組織各種應用系統(tǒng)的用戶訪問權限（包括特權用戶及相關方用戶）實施有效控制，杜絕非法訪問，確保系統(tǒng)和信息的安全，特制定本程序。本程序適用于本組織的各種應用系統(tǒng)涉及到的邏輯訪問的管理。3職責各部門職責負責訪問權限的申請、審批、執(zhí)行。有信息系統(tǒng)的部門負責各部門的信息系統(tǒng)權限控制。由綜合部通知人事變更情況，按照人事變更情況變更相應權限。綜合部：負責財務系統(tǒng)及設備維護系統(tǒng)的用戶權限控制。綜合部：負責SVN系統(tǒng)及設備維護的用戶權限控制。市場部：負責漏洞掃描系統(tǒng)及設備維護的用戶權限控制。綜合部職責負責向各部門通知人事變動情況。負責外來人員物理訪問控制。負責郵件系統(tǒng)的用戶權限訪問控制。負責公司網(wǎng)站內部管理用戶權限訪問控制負責電話、網(wǎng)絡權限控制4相關文件《信息安全管理手冊》《口令策略》5程序訪問控制策略組織內的信息根據(jù)秘密等級，分別向不同職位的員工公開。a）組織的宣傳文件、制度、培訓材料、參考文獻可向全體員工公開;b）人事信息只對綜合部公開；c）財務信息只對綜合部財務人員公開；d）業(yè)務信息只對相關業(yè)務人員公開。各部門系統(tǒng)管理人員根據(jù)不同類別的信息，設置其訪問權限。用戶不得訪問或嘗試訪問未經(jīng)授權的網(wǎng)絡、系統(tǒng)、文件和服務。各部門應編制《系統(tǒng)訪問權限說明書》，明確規(guī)定訪問規(guī)則。用戶訪問管理權限申請所有用戶，包括相關方人員均需要履行訪問授權手續(xù)。申請部門根據(jù)業(yè)務、管理工作的需要，確定需要訪問的系統(tǒng)和訪問權限，經(jīng)過本部門經(jīng)理同意后，向相關部門系統(tǒng)管理人員提交《用戶訪問授權申請表》，負責部門相關人員在《用戶訪問授權登記表》上登記。《用戶訪問授權申請表》應對以下內容予以明確：a）權限申請人員；b）訪問權限的級別和范圍；c）申請理由；d）有效期。如果是公司有新入職人員，按照綜合部提交的《入職申請表》，相關部門需要按照系統(tǒng)訪問權限說明書，給予相應的用戶權限。如果不是新入職或離職員工，在系統(tǒng)使用過程中需要變更信息系統(tǒng)用戶權限的用戶，需要提交《用戶訪問授權申請表》給部門經(jīng)理簽字、然后提交到相應信息系統(tǒng)管理部門的系統(tǒng)管理員，由系統(tǒng)管理員給予相應用戶權限，相關方和第三方服務人員的訪問申請由負責接待的部門按照上述要求予以辦理。但相關方和第三方服務人員一般不允許成為特權用戶。必要時，相關方人員需與訪問接待部門簽訂《相關方保密協(xié)議》或《第三方服務保密協(xié)議》。對于需要申請配置管理系統(tǒng)軟件權限的人員，按以下規(guī)定執(zhí)行：1、項目內由于人員變動或非本項目成員，需申請權限的，需要填寫《配置庫權限申請表》，項目經(jīng)理審批后，由配置管理人員分配相關權限，并在《用戶訪問授權登記表》上登記。2、客服任務需授予相關配置項權限的，由配置管理人員直接按照部門任務的內容分派權限3、跨部門申請配置庫權限，需填寫《配置庫權限申請表》，相關部門經(jīng)理或高管審批，由配置人員分配權限，并在《用戶訪問授權登記表》上登記。權限變更對發(fā)生以下情況對其訪問權應從系統(tǒng)中予以注銷：a）內部用戶雇傭合同終止時；b）內部用戶因崗位調整不再需要此項訪問服務時；c）相關方訪問合同終止時；d）其它情況必須注銷時。如果是公司有離職人員，按照綜合部提交的《離職交接單》，相關部門需要按照系統(tǒng)訪問權限說明書，取消相應的用戶權限。由于用戶變換崗位等原因造成訪問權限變更時，用戶應重新填寫《用戶訪問授權申請表》，按照本程序521的要求履行授權手續(xù)。綜合部應將人事變動情況及時通知各部門。如涉及到SVN權限變更時，需填寫《配置庫權限申請表》，相關部門經(jīng)理或高管審批，由配置人員分配權限，并在《用戶訪問授權登記表》上登記。特權用戶因故暫時不能履行特權職責時，根據(jù)需要可以經(jīng)授權部門經(jīng)理批準后，將特權臨時轉交可靠人員；特權用戶返回工作崗位時，收回臨時特權人員的特權。用戶訪問權的維護和評審對于任何權限的改變（包括權限的創(chuàng)建、變更以及注銷），各管理部門應進行記錄，填寫《用戶訪問授權申請表》包括：a）權限開放/變更/注銷時間；b）變化后權限內容；c）開放權限的管理員。信息安全小組每半年應對訪問權限進行檢查，發(fā)現(xiàn)不恰當?shù)臋嘞拊O置，應通知相應部門予以調整。信息安全小組每半年應對特權用戶訪問權限進行檢查，發(fā)現(xiàn)過期的權限設置，應通知相應部門予以注銷。信息安全小組應對訪問權限的檢查結果應記錄在《訪問權限評審記錄》上。用戶口令管理各部門管理員應按以下過程對被授權訪問該系統(tǒng)的用戶口令予以分配：a）分配給用戶一個安全口令，并通過安全渠道傳遞給用戶；b）當用戶忘記口令時，系統(tǒng)管理員在獲得用戶的確認后可以為其重新分配口令。所有用戶在選擇與使用口令時應嚴格遵組織的《口令策略》。外來人員物理訪問外來人員的物理訪問綜合部控制，當有來訪者要進入本