帐号口令及权限管理组织规定

第2章
2.1
为了实现西藏电信所有IT信息系统的正常安全运行，我们在这里定义四个口令、帐号和权限管理的保障级别，这些级别确认不同系统对帐号管理的不同需要，不同级别的系统和设备需要不同级别的口令、帐号和权限管理的技术、管理制度和管理流程。通常来说，价值较低的系统被定义为需要较低的保障级别，价值较高的系统被定义为需要较高的保障级别。
系统自带超级用户：例如unix的root，windows的administrator，数据库的dba，这类用户由于系统缺省使用，通常是口令攻击者的攻击目标，因此必须妥善加以保护。
手工定义的超级用户：基本上所有系统都可以定义基本与系统缺省超级用户等同权限的用户（一般在权限方面略又差别）。
3.2.2
普通用户是用户用于访问业务系统，实现日常业务操作的用户，是最为常见的用户类型，例如email帐号、BOSS系统帐号、操作系统普通用户等。该类用户主要包括以下二类：
系统必须有严格的安全日志机制并打开安全日志，该安全日志应该收集到部门的专门日志集中管理主机上，日志应该能至少保存过去6个月的日志。
规定口令管理中的基本要求，例如口令变更频率，口令强度要求，不同类型帐号口令的要求，提供口令生成的指南；
确定权限分析和管理的基本原则和规范；
确定审计需要完成的各项工作；
给出流程中需要的各种表格。
1.3
网络和业务系统范围
适用范围包括CMNET、网管、MDCN、BOSS、OA/MIS等西藏电信全网所有计算机信息系统和IP网络。
4.即使有良好的帐号流程管理和控制，有正确的口令设置，仍然无法防止内部的滥用和误用，因为这些滥用和误用的前提通常是用户已经有了一个口令和帐号，因此，必须对用户的权限进行严格的管理和限制，特别是利用系统功能实现最小授权的原则。
5.由于各个系统存在的信任关系，整个系统一环套一环，一个被击破可能导致全线崩溃，因此必须保障整个系统达到一致的安全水平。
2.由于存在大量的帐号和用户，人员的变化、岗位的变化和需求变化会导致帐号管理复杂度大大增加，必须有一套完整的帐号管理规范、流程，保证帐号的变化在可管理、可控制的范畴内。
3.弱口令被猜中后导致系统被入侵是系统被入侵的最主要原因之一，因此如何管理口令的生命周期，如何设置较强的口令成为当前一个重要的课题。特别是snmp口令的缺省配置常常成为一个严重的问题。这些问题有些可以通过集中认证、双要素认证等方式实现，但是最关键的还是应当通过建立规范和指南来实现。
超级用户口令应尽可能采用一次性口令或者双要素口令认证。超级用户口令要求每个月不定期变更两次以上，普通用户口令要求每个月变更一次；对于3个月没有使用的帐号应该评估是否删除；
用户账号授权应该满足最小授权和必需知道的原则。必需知道原则指应该让用户有权限访问他工作中需要用到的信息；最小授权原则指仅让用户能够访问他工作需要的信息，其他信息则不能被该用户访问；
采用比较复杂的口令，定期修改
采用比较复杂的口令，定期修改
不需要存在
第三级别
建议采用增强口令认证
采用比较复杂的口令，定期修改
采用比较复杂的口令，定期修改
必须存在
第四级别
建议采用增强口令认证
建议采用增强口令认证
不允许存在
必须存在
3.3
3.3.1
设备或者应用系统由系统维护部门的系统管理员自行管理和划分权限。
员工所在部门安全管理人员：负责审批、登记备案用户权限。
3.2
电信的帐号应基于统一的角色进行管理。帐号的角色可以从电信业务角度分或从IT管理角度分。如果从IT管理角度可以分为以下部分。
3.2.1
系统管理员和超级用户是有权限对系统的配置、系统最核心信息进行变更帐号的角色，通常每个系统至少具有一个或者一组该类帐号，该类帐号的管理应该最为严格，因为这些帐号可以对系统产生重大影响。超级用户和系统管理员帐号又可以分为以下二种：
3.2.4
在核心系统中，应该设置安全审计员帐号，该帐号可以对系统安全设置和日志信息进行专门的审计。
3.2.5
对于我们的四级保障体系，每一级别存在的不同用户类型和需求如下：
系统管理员帐号
普通帐号
第三方帐号
安全审计帐号
第一级别
采用比较复杂的口令，定期修改
无要求
无要求
不需要存在
第二级别
采用比较复杂的口令，定期修改
评估报告的内容应该包括：
所有主机资产列表
每台主机/服务器/数据库/应用系统需要的帐号、口令和权限保障级别和原因，主要评估方法是根据第二章中每一级别的特征逐条比较，选择最为接近的级别
根据第三、四五章的要求，明确每一级别需要遵守的规范细节
评估过程和方法应该透明，评估报告随评估结果和相关策略一并提交网络与信息安全办公室。
存在一定的风险，可能破坏电信、客户或者第三方需要执行的商业措施或者交易
不会导致民事或者刑事犯罪
存在一定风险，可能少量向未经授权的组织或个人暴露个人、电信、政府、商业的敏感信息
举例：
一台常用办公电脑，该电脑上没有存储任何机密文件，他的帐号被窃取可能导致公司常用信息例如通讯录被泄漏。
一个有查询系统的帐号，用户可以通过Internet注册来查询自己的帐单。该帐号失窃可能导致用户信息的泄漏。
系统的帐号管理应该支持用户名和口令的机制，口令的存储尽量采用加密的方式；
系统管理员自行审计和处理帐号的存在和启用是否合理。
3.3.2
本级别的需求应至少包括并高于其下等级的所有规范要求；
非经部门系统管理员授权，不允许匿名账号的存在；
口令应该以加密方式存储；
不允许共享账号和口令，除非由部门经理授权，不允许将个人使用的口令告诉他人；
帐号口令管理制度
第1章
1.1
随着西藏电信有限责任公司业务系统的迅速发展，各种支撑系统和用户数量的不断增加，网络规模迅速扩大，信息安全问题愈见突出，现有的信息安全管理措施已不能满足西藏电信目前及未来业务发展的要求。主要表现在以下方面：
1.西藏电信的信息系统中有大量的网络设备、主机系统和应用系统，分别属于不同的部门和不同的业务系统，并且由相应的系统管理员负责维护和管理。所有系统具备不同的安全需求级别，目前没有一个统一的规范描述和区分这种级别，导致对口令、帐号和权限的管理处于较为混乱的状况。
2.2
第一步：对各系统进行一次风险评估，风险评估的结果能够确定系统需要口令、帐号管理权限的保障级别并揭示由于不恰当的口令、帐号和权限管理给西藏电信和我们的客户所带来的危害和后果。由于不恰当的口令、帐号和权限管理给西藏电信和我们的客户所带来的危害和后果越严重，需要的安全措施越高，相应地需要的保障级别也越高。风险评估还应遵照本规范揭示相应的应用系统需要采取何种帐号、口令和权限措施，这些措施应该包括技术措施和管理措施。
总之，随着业务系统和支撑系统的发展及内部用户的增加，必须有一套规范可以保障系统的帐号、口令和权限被合理地管理和控制，达到系统对认证、授权和审计的需求。
1.2
本管理办法的主要内容包括：
定义帐号、口令和权限管理的不同保障级别；
明确帐号管理的基本原则，描述帐号管理过程中的各种角色和组织职责，确定帐号管理的流程：包括帐号的申请、变更、注销和审计；
会导致民事或者刑事犯罪
大量向未经授权的组织或个人暴露个人、电信、政府、商业的敏感信息
举例：
关键系统，例如计费系统数据库主机的操作系统和数据库。
用于存储公司最高商业机密或密级为绝密的系统的认证。
第3章
3.1
员工所在班组：负责发起员工帐号的创建、变更和撤消申请；
员工所在部门系统管理员：负责维护和管理业务系统，对业务系统负全责，具体负责帐号的具体生成、变更和删除，并进行定期审计；
2.3.4
描述
等级四的保障通常对应需要非常大的信心保障的系统这种等级的认证被误用或者破坏可能导致：
给所有电信、客户或者第三方带来巨大的不便
给电信、客户或者第三方带来极大直接的经济损失或者没有直接经济损失
会给电信、客户或者第三方带来极大的不快
会给电信、客户或者第三方带来巨大名誉或者地位的损失
破坏电信、客户或者第三方需要执行的商业措施或者交易
不会导致民事或者刑事犯罪
不会向未经授权的组织或个人暴露个人、电信、政府、商业的敏感信息
举例：
一个公司的内部交流论坛，不用于任何工作目标，可以自行注册帐号并发言，尽管帐号的泄漏会带来一些不便和伪冒，但是由于不用于工作目的，因此不会造成大的损失。
未验收和未投入使用的系统，工程过程中的系统（假设没有涉及知识产权，例如软件代码泄密的问题的情况下）
系统必须打开安全日志，并保存1个月以上的安全日志。
3.3.3
本级别的需求应至少包括并高于其下等级的所有规范要求；
要求必须在帐号相关备注字段或者一个集中的数据库中明确帐号的详细信息，至少包括名字、联系电话、email；
由于系统存在缺省帐号例如root、administrator帐号可能给口令猜测和系统漏洞利用提供方便，因此在可能的情况下可以不使用该类帐号。在条件许可的情况下，开发并使用一些工具（routine），避免向用户授予超级权限；
帐号、口令和权限管理包括不同的层次范围
帐号、口令和权限管理涉及网络设备、主机系统、数据库、中间件和应用软件。
1.4
本规范制定了适合西藏电信的基本准则和级别划分规则，全公司应该遵照第二章的级别划分要求对所有主机、数据和应用系统进行评合于哪些系统。
存在较大的风险，会破坏电信、客户或者第三方需要执行的商业措施或者交易
会导致民事或者刑事犯罪
存在较大风险，可能大量向未经授权的组织或个人暴露个人、电信、政府、商业的敏感信息
举例：
一般的主机操作系统、数据库、和路由器的高权限帐号，例如root、administrator、dba等。
业务系统的关键管理帐号，可以读写重要的用户信息、业务信息和帐单信息。