ISO27001-2022程序文件之访问管理程序.docVIP

16、访问管理程序###-ISMS-0305-2023

1目的

为对本公司各种应用系统的用户访问权限（包括特权用户及相关方用户)实施有效控制，杜绝非法访问，确保系统和信息的安全，特制定本程序。

2范围

适用于对公司网络、各应用系统的逻辑访问，物理访问按《安全区域管理程序》进行。

3职责

3.1技术部负责管理公司网络、应用系统用户访问权限的分配、审批，以及信息应用系统用户的开通；访问权限控制和管理,以及向各部门通知人事变动情况。

4程序

4.1访问控制策略

4.1.1可公开的信息不作特别限定，允许所有用户访问。

4.1.2部分公开信息，经应用管理部门认可，并且请技术部做技术处理后用户方可访问。

4.1.3用户不得访问或尝试访问未经授权的网络、系统、文件和服务。

4.1.4技术部应编制《系统用户访问权限说明书》，明确规定访问规则。

4.2用户访问管理

4.2.1权限申请

授权流程：申请部门或用户申请---技术部负责人确认、实施---申请部门进行访问。

4.2.1.1所有用户，包括相关方人员均需要履行访问授权手续。申请部门或用户根据生产、管理工作的需要，确定需要访问的系统和访问权限，经过本部门经理同意后，向技术部提交《用户访问授权申请表》，技术部负责人对批准后的信息在《用户访问授权登记表》上登记。

4.2.1.2《用户访问授权申请表》应对以下内容予以明确:

a)权限申请人员；

b)访问权限的级别和范围；

c)申请理由；

d)有效期。

4.2.1.3经相关管理部门或负责人审核批准后，将《用户访问授权申请表》交技术部，技术部实施授权，《用户访问授权申请表》交技术部保存。

4.2.1.4相关方服务人员的访问申请由负责接待的部门按照上述要求予以办理。但相关方服务人员一般不允许成为特权用户。必要时，相关方人员需与访问接待部门签订《相关方必威体育官网网址协议》。

4.2.2权限变更

4.2.2.1对发生以下情况对其访问权应从系统中予以注销：

a)内部用户雇佣合同终止时；

b)内部用户因岗位调整不再需要此项访问服务时；

c)相关方访问合同终止时；

d)其它情况必须注销时。

4.2.2.2由于用户（含项目组、项目组成员等）变换岗位等原因造成访问权限变更时，用户（含项目组、项目组成员等）应重新填写《用户访问授权申请表》，按照本程序5.2.1的要求履行授权手续。

4.2.2.3各部门应将人事变动情况及时通知技术部，应用系统管理员进行权限设置更改。

4.2.2.4特权用户因故暂时不能履行特权职责时，根据需要可以经授权部门经理批准后，将特权临时转交可靠人员；特权用户返回工作岗位时，收回临时特权人员的特权。

4.2.3用户访问权的维护和评审

4.2.3.1对于任何权限的改变(包括权限的创建、变更以及注销)，技术部应进行记录，体现在申请部门或用户提交的《用户访问授权申请表》，内容须包括：

a)权限开放/变更/注销时间；

b)变化后权限内容；

c)开放权限的管理员。

4.2.3.2如果发生重大变更时应立即进行访问权限检查，一般每年应对访问权限进行检查，发现不恰当的权限设置，应通知技术部，并予以调整。

4.2.3.3技术部每半年应对特权用户访问权限进行检查，发现过期的权限设置，应通知技术部，并予以注销。

4.2.3.4技术部应对访问权限的检查结果应记录在《用户访问权限评审记录》上。

4.3用户口令管理

4.3.1应用管理员应按以下过程对被授权访问该系统的用户口令予以分配：

a)分配给用户一个安全临时口令，并通过安全渠道传递给用户,并要求用户在第一次登录时更改临时口令；

b)当用户忘记口令时，系统管理员在获得用户的确认后可以为其重新分配口令。

4.3.2口令的选择与使用要求

所有用户在使用口令时应严格遵公司的《口令策略》。

5引用文件

5.1《信息安全风险管理程序》

5.2《相关方信息安全管理程序》

5.3《口令策略》

5.4《特权访问管理策略》

5.5《账号管理策略》

6记录

JL0305-01《系统访问权限说明书》

JL0305-02《用户访问授权申请表》

JL0305-03《用户访问授权登记表》

JL0305-04《相关方必威体育官网网址协议》

JL0305-05《用户访问权限评审记录》