用户帐号和口令管理规范
用户帐号和口令管理规范
版本
更改类型
生效日期
更改内容
会签部门：
        品质：                              工程：                 
                               
        采购：                              业务：                   
研发：                             DCC：                     
 
  生产：                              PMC：
行政：                            财务：                 
制作：
审核：
批准：
一、目的：
随着 IP网络建设的发展，内部员工大量使用基于操作系统的账号、基于数据库的账号和基于应用系统的账号，大量账号和口令的使用导致管理极大的复杂化，为了保证各个系统的账号和口令管理保持在一个一致的水平上，特制定本标准。本标准规定了账号和口令管理的相关职责定义、管理流程。
本条例为各网络系统的用户帐号及口令的使用、维护及处罚的依据。
二、适用范围
1.本规定适用DXC范围内的各网络系统，包括但不限于各种操作系统，路由器，交换机，数据库，计费、营业和客服等业务应用系统等。
2.本规定适用DXC范围内的各系统的用户，包括但不限于数据库系统管理员、业务系统管理员、网络管理员、业务系统使用人员、个人计算机使用者、合作软件开发商、系统集成商等。同样适用于DXC公司范围内所有使用个人计算机及网络的员工。
3.本部分是符合《DXC信息安全方针》相关规定制定。主要适用原则为责权一致原则。
三、术语解释
1.授权用户：
1）DXC内部人员：指与DXC签定“员工聘用协议书”，属于DXC的正式员工。
2）使用DXC网络资源的非DXC人员：指临时到DXC工作不与DXC签定“员工聘用协议书”的人员，包括但不限于开发商、集成商、供应商、顾问、合作人员、实习生、临时工、DXC外包业务人员等，这类人员不是正式员工，不进入DXC的人力资源管理系统。
2.帐号
1）帐号∶指在系统内设定的可以访问本系统内部资源的ID或其他许可形式。
2）管理员帐号：指在系统中具有较大的权限，对网络的运行和安全具有巨大影响的帐号，典型用户为系统管理员。
3）超级管理员帐号：指对系统具有超级权限的帐号，包含但不限于UNIX的ROOT，WINNT的administrators组成员，数据库的DBA等用户。
4）公用帐号：指供一组人使用的帐号，其合法使用人限于一个组内。
5）匿名帐号：只供不确定人员使用的帐号，多用于通过INTERNET的访问。
3.口令
1）口令：指系统为了鉴别帐号使用人的身份而要求使用人提供的证据，如在数据库系统的口令，NOTES系统的帐号文件及帐号口令。
2）健壮口令：具有足够的长度和复杂度，难于被猜测的口令；强壮的口令具备以下特征：
a.同时具备大写和小写字符
b.同时具备字母、数字和特殊符号，特殊符号举例如下!@#$%^&*()_+|~-=\`{}[]:";'<>?,./)
c.8个字符或者以上
d.不是字典上的单词或者汉语拼音
e.不基于个人信息、名字和家庭信息
f.口令不应该记在非经特别保护的纸面上，不能未经加密存储在电子介质中。口令不应该太难记忆。
3）弱口令：仅由字母、单词、数字或其简单的组合，易于猜测的口令；弱口令有以下特征：
a)口令长度少于8个字符；
b)口令是可以在字典中直接发现的单词；
c)口令比较常见，例如：
家人名字、朋友名字、同事名字等等
计算机名字、术语、公司名字、地名、硬件或软件名称
生日、个人信息、家庭地址、电话
某种模式的，例如aaabbb、asdfgh、123456、123321等等
任何上面一种方式倒过来写
任何上面一种方式带了一个数字
四、帐号设立
1.系统要求
1）DXC所使用的操作系统、业务系统、数据库、网络设备等均需要支持基于帐号的访问控制功能；
2）所有需要使用口令的应用软件、业务软件都需要对口令文件提供妥善的保护。
2.帐号申请原则
1）只有授权用户才可以申请系统帐号；
2）任何系统的帐号设立必须按照第六节规定的相应流程规定进行；
3）员工申请帐号前应该接受适当的培训，以确保能够正常的操作，避免对系统安全造成隐
患；
4）帐号相应的权限应该以满足用户需要为原则，不得有与用户职责无关的权限；
5）对于确因工作需要而必须申请系统帐号的DXC外部人员，则必须经部门主管批准，且有DXC正式员工作为安全责任人，如果需要接触DXC秘密信息，必须通过安全中心审批并且签署保密协议；
6）任何系统的帐号必须是可以区分责任人，责任人必须细化到个人，不得以部门或个人组作为责任人；
3.公用帐号
1）系统应当严格限制开设公用帐号，一般情况下公用帐号不得具有访问保密信息和对系统写的权限；
2）公用帐号应该设立责任人，负责帐号的正常使用及维护；
4.匿名帐号
1）匿名帐号只被允许访问系统中可公开的且对DXC有益的资源，不得访问任何内部公开及以上秘密等级的资源；
2）对匿名用户对系统的访问必须有详细的记录；
五、口令设立
1.口令的生成
1）系统帐号分配时必须同时生成相应的口令，并且与帐号一起传送给用户；
2）用户在接受到帐号和口令后，必须马上修改口令，任何时间都不得存在没有口令的帐号，除非该帐号已经失效；
3）对于系统的帐号验证只有口令作为证据的系统，如果帐号名由确定的且公开的规则产生的，则口令不应当为公开的口令；
4）管理员在传递帐号和口令时，应当采取加密或其他安全的传输途径，以保证口令不会被中途截取。
2.口令设立的原则
1）帐号口令必须是具有足够的长度和复杂度，使口令难于被猜测；
2）帐号口令必须是在必要时间或次数内不循环使用；
3）帐号的各个口令之间应当是没有直接联系的，以保证不可有以前的口令推知现在的口令；
4）帐号的前后两个口令之间的相同部分应当尽量减少，减低由前一个口令分析出后一个口令的机会；
5）帐号的口令不应当取有意义的词语或其他符号，如使用者的姓名，生日或其它易于猜测的信息。
3.口令要求
1）普通用户口令长度不得低于6位，最近3个口令不可重复，口令中必须包含字母和数字；
2）管理员和超级管理员帐号口令长度不得低于8位，最近6个口令不可重复，口令中必须包含字母和数字，口令中同一个符号出现不得多于2次，各个口令中相同位置的字符相同的不得多于3个，口令不得为有意义的单词或短语；
3）所有系统管理员级别的口令（例如root、enable、NT administrator、DBA等）必需每三个月更换一次，并依照规定进行存档备份。
取得管理员权限4）所有用户级别的口令（例如email、计费系统用户、notes用户）应每六个月变更一次。建议4个月变更一次。
用户所使用的任何具备系统超级用户权限（包括并不限于系统管理员账号和有su权限账号）账号口令必需和这个用户其他账号的口令均不相同。
5）当使用SNMP时，communication string不允许使用缺省的Public、Private、system和secret等，并且该communication string不应该和系统的其他口令相同，应该尽量使用SNMPv2以上的版本。
6）重要的系统口令应尽可能采用一次性口令或者双要素口令认证。
六、口令保护
1.工作中的账号口令不要和个人其他账号口令相同。尽量做到不同用途使用不同口令，例如：Unix系统口令和NT系统口令最好不同。
2.不要把自己口令共享给他人。
3.这是一个禁止的行为的清单
1）不要在email中写口令
2）不要给你上司口令（特权账号口令备份是个例外）
3）在别人面前谈论的时候，不要提到口令
4）不要暗示自己口令的格式
5）不要在调查中给出口令
6）不要告诉家人口令
7）休假时不要把自己口令告诉他人
4.如果有任何人需要口令，参照本文档，或者经过部门负责人的特别授权。
5.不要使用非DXC授权和许可的口令记忆软件。
6.如果口令可能被破解了，应立即报告部门负责人和上级部门，并且更改所有口令。
7.口令的更改必须指定两位专人负责，由这两人根据要求定期进行更改。责任人必须保证口令更改的及时性、有效性，同时必须在“重要口令更改记录表”中进行详细记录，并保证在网设备的口令与记录上的口令保持一致。
8.“重要口令更改记录表”必须锁放在机房的安全位置，钥匙由两位责任人掌握。
9.用户账号授权应该满足最小授权和必需知道的原则。必需知道原则指应该让用户有权限访问他工作中需要用到的信息；最小授权原则指仅让用户能够访问他工作需要的信息，其他信息则不能被该用户访问。
10.安全专员将不定期进行口令猜测尝试，如果口令被猜出，则用户必需立即更换。
七、变更与取消
1.帐号的使用
1）任何帐号的使用人只限于申请帐号过程中声明的使用人使用，禁止其他人使用此帐号；
2）帐号系统正式使用前，必须更改原来系统中的缺省帐号的所有口令，以保证正式环境的安全；
3）帐号使用人在使用的过程中，不得使用帐号访问与自己工作无关的资源；
2.帐号的权限变更
1）帐号使用人在工作职责发生转变，造成现有职责与现有的在系统中的职责不同时，应当申请权限的修改；管理员发现用户具有工作不需要的权限，可以直接停止多余的权限；
2）帐号使用人在工作职责发生转变，而不再需要使用系统资源的情况下，应当申请关闭帐号；对不能关闭的帐号则需要转移帐号的责任人；
3.口令的修改
1）帐号的使用人应当定期修改帐号口令，修改口令的间隔应小于本标准的相关规定，对于本标准没有规定的用户，其间隔应当小于6个月；
2）帐号用户必须在管理员要求更改口令时进行更改口令；如果用户拒绝配合，管理员可以在通知用户及其主管后，关闭用户的帐号，以保证系统的安全；

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。