用户访问控制管理规定
数据访问控制规程管理用户对数据的访问权限
数据访问控制规程管理用户对数据的访问权限数据访问控制是信息系统安全中的重要环节，它通过管理用户对数据的访问权限，确保敏感数据的保密性、完整性和可用性。
数据的访问权限应该由专门的规程来管理，以确保用户的合法访问，防止未授权的数据泄露和滥用。
本文将探讨数据访问控制规程的一些常见方法和建议。
1. 数据分类和标记为了管理用户对数据的访问权限，首先需要对数据进行分类和标记。
数据分类可以按照敏感程度、业务需求以及法律法规等因素进行。
标记数据可以通过为每个数据集分配安全等级或保密等级来实现，以便于后续的访问控制管理。
2. 基于角色的访问控制（RBAC）角色是一种逻辑概念，可以将用户划分为不同的角色，每个角色拥有特定的权限。
基于角色的访问控制（RBAC）是一种有效的数据访问控制方法，通过将用户与角色进行关联，实现对数据的访问权限管理。
RBAC可以将复杂的权限管理变得简单，减少了用户个别授权的工作量。
3. 最小权限原则在为用户分配访问权限时，应遵循最小权限原则。
最小权限原则指的是只给用户分配他们工作所需的最低限度的权限，以减少数据遭到滥用的风险。
过多的权限可能导致数据泄露或滥用的风险增加，因此需要仔细评估和控制用户的访问权限。
4. 多因素认证为了增加数据访问的安全性，建议采用多因素认证来验证用户身份。
多因素认证包括至少两种或两种以上的身份验证方式，例如密码、指纹、智能卡等。
多因素认证能够有效提高系统的安全性，防止非法用户通过盗用密码等方式入侵系统。
5. 审计日志审计日志是数据访问控制规程的重要组成部分，通过记录用户对数据的访问操作和行为，可以实现对数据滥用和违规行为的监控和审计。
审计日志记录的内容应包括用户信息、访问时间、访问对象以及操作类型等。
审计日志可以作为事后追责和安全事件调查的重要依据。
6. 定期评估和检查数据访问控制规程不是一成不变的，应该定期进行评估和检查，以确保其适应变化的安全需求和法律法规的要求。
信息系统访问控制管理规定
信息系统访问控制管理规定信息系统访问控制管理规定第⼀章总则第⼀条为加强科技发展部信息系统的访问管理，规范⽤户管理、密码管理及访问控制管理⾏为，特制定本规定。
第⼆条本规定适⽤于科技发展部负责运⾏维护的信息系统及其管理活动。
第⼆章组织和职责第三条科技发展部风险管理组负责监督各部门在信息系统访问管理⽅⾯的⼯作。
第四条各部门安全组负责监督和检查本部门在信息系统访问管理⽅⾯的⼯作。
第五条各部门负责信息系统访问的⽇常管理，部门负责⼈负责本部门职责范围内的⽤户权限申请、变更、回收的审核⼯作，定期组织对本部门访问管理的⾃查。
第六条全体员⼯必须遵守本规定的要求，按需申请信息系统的访问权限，严格管理分配给本⼈的⽤户并定期修改密码，不越权访问未被授权访问的内容。
第三章基本原则第七条信息系统访问管理遵循如下基本原则：(⼀)隔离运⾏：对于不同重要程度的信息系统，应采取特定的隔离措施，确保各类系统独⽴运⾏；(⼆)权限最⼩：⽤户只应具有完成⼯作所需的访问权限；(三)⽤户唯⼀：信息系统中的⽤户应该具有唯⼀性；(四)按需授权：权限审批时应根据⽤户实际需要审批授权；(五)职责分离：⽤户访问的请求、授权、管理应实现职责分离；(六)默认拒绝：未经明确授权，⼀律视为禁⽌。
第四章⽤户管理第⼋条⽤户对信息系统的访问和权限变更需要提出申请，⽤户所在部门的负责⼈对申请进⾏初审，信息系统的主管部门负责⼈进⾏复审，信息系统的⽤户管理员负责处理得到审批后的请求。
第九条⽤户管理员对本系统其他⽤户的权限进⾏管理和维护，不得私⾃增加、修改、撤销其他⽤户权限和密码。
第⼗条⽤户管理员负责密码信封(含电⼦密码信封)的制作，负责建⽴信息系统的⽤户权限清单和特权⽤户清单，综合组统⼀保管和备案。
第⼗⼀条普通⽤户在授权范围内完成⾃⼰的⼯作，不得擅⾃将⽤户名和密码转授他⼈使⽤，⼯作完成后应⽴即退出系统。
第⼗⼆条信息系统的主管部门应定期向使⽤部门提供相关⽤户权限清单，使⽤部门负责⼈应根据该清单核实⽤户权限分配情况并反馈给信息系统的主管部门。
用户来访管理制度
用户来访管理制度一、总则为了提高公司的形象和服务质量，保障公司的安全和秩序，制定用户来访管理制度。
本制度适用于公司内部所有用户来访行为管理。
二、用户来访申请1. 用户来访需提前向公司部门提交来访申请，申请表上需填写详细的来访信息，包括来访人员的姓名、性别、身份证号码、来访时间、来访事由等内容。
2. 来访申请需由来访人员本人签字确认，并由相关部门负责人审批后方可生效。
3. 特殊情况下，也可由公司领导直接授权或安排来访事宜。
三、来访须知1. 用户来访需提前向接待人员出示有效的身份证件，并领取临时的来访证件。
2. 来访人员需遵守公司的各项规章制度，并接受接待人员的安排和指导。
3. 来访人员需在规定的来访时间内办理完来访事宜，并在事后主动交还临时来访证件。
四、来访期间管理1. 用户来访期间需严格遵守公司的各项安全制度和规定，不得擅自进入不属于自己权限范围的区域或触碰公司的重要设施。
2. 来访人员需配合公司安保人员的检查和监督，如有异常行为或不配合检查的将被拒绝来访或强制离开。
3. 来访人员不得在公司内部从事任何与来访事宜无关的活动，包括但不限于采访、搞宣传等。
五、来访结束1. 用户来访事宜办理完成后，需及时交还临时来访证件，并在接待人员的安排下离开公司。
2. 如有需要，也可由接待人员陪同下离开公司，并确保离开过程的顺利和安全。
六、不当行为处罚1. 对于未经批准擅自进入公司内部、不遵守公司规章制度以及其他违反管理制度的行为，公司将对其做出相应处罚，包括但不限于警告、禁止再次来访、甚至向警方报案处理。
2. 对于严重违规甚至涉及违法犯罪的行为，公司将追究其法律责任。
七、其他1. 公司将不断完善用户来访管理制度，确保其规范、合理和有效。
2. 对于发现的漏洞或不足，公司欢迎用户提出宝贵意见和建议，并及时予以改进或完善。
八、附则1. 本制度由公司相关部门负责解释和调整，最终解释权归公司所有。
本用户来访管理制度自发布之日起正式生效。
安全操作规程网络访问控制与用户权限管理
安全操作规程网络访问控制与用户权限管理网络安全操作规程：网络访问控制与用户权限管理一、引言在当今数字化时代，网络安全成为了各个组织和个人都必须面对的挑战。
为了保护机密信息、确保网络资源的可靠性与可用性，网络访问控制与用户权限管理变得尤为重要。
本文旨在提供一个安全操作规程，以指导员工如何进行网络访问控制与用户权限管理，以保障网络安全。
二、定义与概述1. 网络访问控制网络访问控制是指通过对网络流量的监控和管理，限制用户或设备对网络资源的访问。
通过网络访问控制，可以防止未经授权的用户或设备获取敏感数据、破坏网络资源等不良行为。
2. 用户权限管理用户权限管理是指按照不同的身份和角色，管理和分配用户在网络中的操作权限。
通过有效的用户权限管理，可以确保每个用户只能访问其合法权限内的资源，从而减少潜在的网络安全风险。
三、网络访问控制与用户权限管理的重要性1. 保护机密信息网络中存在着大量的机密信息，如客户资料、业务策略等。
通过网络访问控制与用户权限管理，可以限制对这些机密信息的访问，保护企业核心资产的安全。
2. 防止内部威胁内部员工可能会误操作、泄露机密数据或利用权限滥用。
通过严格的访问控制与用户权限管理，可以避免员工内部威胁对网络安全造成的影响。
3. 提高网络性能对网络进行访问控制与权限管理，可以减少非关键性网络流量，提高网络的整体性能与效率。
四、网络访问控制与用户权限管理的策略和措施1. 网络访问控制策略（1）设立网络访问控制清单：明确规定对于不同类型的网络资源，谁有权访问和修改，并记录相关权限清单，确保权限的准确性。
（2）防火墙配置：合理配置防火墙规则，限制外部网络对内部网络的访问，并禁止不明来源的流量进入内部网络。
（3）入侵检测与防御系统：部署入侵检测与防御系统，在实时监控网络流量的同时及时响应和阻断潜在的攻击行为。
2. 用户权限管理措施（1）按需分配权限：根据员工的职位和职责，合理分配最低权限原则，即赋予用户需要的最少权限，从而减少潜在安全风险。
(完整版)信息系统用户和访问控制规章
(完整版)信息系统用户和访问控制规章信息系统用户和访问控制规章1. 引言本文档旨在规范信息系统用户的行为和访问控制，确保系统的安全性和可用性。
本规章适用于所有使用和访问信息系统的用户。
2. 用户行为规定- 用户应遵守公司制定的信息系统使用政策和相关法律法规，不得利用系统进行非法活动。
- 用户应对自己的账号和密码负责，不得将其泄露给他人或以任何形式共享给他人。
- 用户不得未经授权地修改、删除或篡改系统中的数据。
- 在使用系统时，用户应保持良好的网络行为礼仪，不得散播谣言、传播不良信息等违反道德和社会公德的行为。
3. 访问控制规定- 用户只能访问其工作职责所需的信息和功能，不得越权访问他人的信息和功能。
- 系统管理员应根据用户的职责和权限设定相应的访问控制策略，确保用户只能访问其需要的信息和功能。
- 用户访问系统时，需进行身份认证，使用自己的账号及密码登录，确保身份的真实性和唯一性。
- 用户在离开工作岗位后，应及时退出系统，避免他人利用其账号进行未经授权的访问。
4. 处罚和违约责任- 违反本规章的用户将接受相应处罚，包括但不限于口头警告、限制访问权限、停止使用系统等。
- 对于故意破坏系统、盗用他人账号和密码等严重违规行为，将追究违约责任，可能导致法律纠纷和经济损失。
5. 其他规定- 公司保留对本规章进行修改和解释的权利，用户需定期查阅以获取最新的规章内容。
- 用户有义务向公司汇报发现的系统漏洞和安全问题，并配合公司进行调查和修复工作。
以上为《信息系统用户和访问控制规章》的完整版内容。
用户在使用和访问信息系统前，请务必详细阅读并遵守规定，以确保系统的安全性和正常运行。
访问控制管理规范
编号ISMS-2-AC-01版本号V1.0受控状态受控信息级别一般访问控制管理规范版本记录目录第一章总则 (4)第二章口令管理规范 (4)第三章计算机安全管理规范 (6)第四章网络访问管理规范 (6)第五章应用系统访问管理规范 (7)第一章总则为防止对公司相关资源的非授权访问，预防信息泄密等信息安全事件的发生，特制定本办法。
本办法适用于公司各类信息系统的访问控制活动，包括计算机、网络和信息系统的访问控制。
第二章口令管理规范公司人员的计算机设备都需设置开机口令，口令设置应符合如下安全要求：一、口令不能为空；二、口令长度不应少于8位字符；三、口令强度需至少满足以下3种及以上的组合：1.包含数字；2.包含字母；3.包含标点符号；4.包含特殊字符（例如：_，-，%，&，*，^，@等）；5.包括大小写字符。
四、口令设置不得使用如下简单信息：1.不应直接选择简单的字母和数字组合，或键盘顺序的口令，像aaaa1111、1234abcd、qwertyui等；2.不得使用个人相关信息（如姓名、生日）等容易猜出的口令；3.用户名不能作为口令的一部分。
五、对口令的日常维护和使用应遵守以下要求：1.员工应了解进行有效访问控制的责任，特别是口令使用和设备安全方面的责任；2.员工应保证口令安全，不得向其他任何人泄漏或共享本机口令。
对于泄漏口令造成的损失，由员工本人负责；3.口令应至少90天更改一次，更改后的口令不得再次使用旧口令或循环使用旧口令；4.避免在纸上记录口令，或以明文方式记录计算机内；5.不要在任何自动登录程序中使用口令；6.正在登录系统时，在屏幕上不得显示口令明文。
7.口令的分发和更新必须确保安全。
口令通过公共网络传输前，必须被加密。
口令和用户ID必须被分开传输。
8.口令不允许被明文记录在脚本、软件代码、外部程序文件中。
六、服务器登录口令的设置与维护管理，除满足上述第三条和第四条要求之外，还应该考虑：1.每台服务器设专门的服务器管理员来管理管理员帐号，其他登录帐号由管理员来分配；2.服务器管理员的设置原则上与应用系统和数据库的口令管理员分开。
用户访问管理规范制度
XXX公司用户访问管理制度概要：访问管理制度的建立是为了保护XXX信息资产的保密性、完整性、可用性和真实性。
作为信息安全管理制度的一个部分，用户访问管理制度定义了基本的一系列访问控制管理内容：用户访问和密码管理；用户责任；网络访问控制；操作系统和应用访问控制；根据业务需求，相应的需要去知道或者需要去做的法则要有相应的指导手册帮助履行这些管理需求。
流程需要被定义并批准，IT系统和IT基础架构确保符合相应的要求。
目录1.0 目标2.0 范围3.0 访问控制内容3.1 访问控制的业务要求3.2 用户访问管理3.3 用户责任3.4 网络访问控制3.5 操作系统和应用访问控制4.0 例外1.0 目标XXX信息技术对系统的保密性、完整性、可用性和真实性的保护措施重点是预防为主，因此它的实质是对基于业务要求的重要资产的访问控制。
2.0 范围XXX所有的IT系统及IT基础架构应用。
3.0 访问控制内容依照XXX对信息安全管理的要求，对于信息资产、网络、系统（例如操作系统和应用系统）的访问必须被适当地控制、管理和监控。
安全要求必须被定义并文档化，须符合商业和法律的要求和须在风险评估框架范围内。
3.1 访问控制业务需求为了防止误操作导致的业务应用的中断和个人或商业信息的泄露，访问控制的规则和权利要基于安全的要求，访问必须限制在所需要的范围内。
用户和服务供应商都必须给予明确的安全要求和声明以满足访问控制。
所有用户的访问功能应该根据他们的工作性质和角色进行分配。
分配授权的过程必须一致，无论用户和系统操作人员，还是雇员或第三方。
系统授权授予必须保持与组织调整流程一致，各地负责人员须适时对配置文件进行更新。
所有系统用户必须签订合适的保密协议：1、具有系统权利执行功能或任务并不意味着用户是具有组织的授权；2、业务经理或主管有责任确保用户不能超过组织授予他的权限或允许他所能做的事情。
公司不会把组织和制度的责任由第三方承担，第三方可以分配用户配置给用户，但必须遵从公司的指示。
访问控制安全管理制度
访问控制安全管理制度一、前言随着信息技术的飞速发展，网络安全问题也变得日益严峻。
作为信息系统中重要的一环，访问控制安全管理制度在保障系统安全、保护企业数据方面起着至关重要的作用。
良好的访问控制安全管理制度可以有效地防范信息泄露、恶意攻击等安全风险，确保信息系统的正常运行。
二、访问控制的概念和意义访问控制是指对系统中用户、程序和设备的访问进行控制，以保护系统的机密性、完整性和可用性。
访问控制的主要目的是确保系统只允许授权访问者进行合法的操作，同时禁止未授权的访问。
访问控制的主要方式包括身份认证、授权和审计。
访问控制的意义在于：1. 保障系统的安全性：通过访问控制，可以有效的保护系统中的敏感信息不被未授权的用户访问和篡改，确保系统的安全性。
2. 提高系统的可用性：通过访问控制可以限制用户的权限，防止用户误操作或恶意操作导致系统故障，提高系统的可用性。
3. 防范内部威胁：内部威胁是造成信息泄露和系统损坏的主要原因之一，通过访问控制可以对员工的权限进行合理控制，减少内部威胁的风险。
4. 提高系统的管理效率：访问控制可以帮助系统管理员对用户进行管理和监控，提高系统的管理效率。
三、访问控制安全管理制度的内容访问控制安全管理制度是企业为了保障系统安全而制定的一系列规定和措施，主要包括以下内容：1. 访问控制策略：明确企业的访问控制策略，包括权限管理、身份认证、访问控制规则等，确保访问控制能够符合企业的安全要求。
2. 用户身份认证：规定企业用户的身份认证方式，如用户名密码、指纹识别、双因素认证等，确保用户的身份可以得到有效验证。
3. 用户权限管理：规定对用户进行权限分配的原则和流程，确保用户只能访问到其需要的资源，避免权限过大或过小的风险。
4. 访问控制技术：规定企业所采用的访问控制技术和工具，包括网络防火墙、入侵检测系统、访问控制列表等，确保访问控制的有效实施。
5. 访问审计：规定对系统访问进行审计的制度和措施，包括审计日志的记录、审计记录的查看和存储等，确保对系统的访问行为进行监控。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
用户访问控制管理规定
1目的
为了明确用户访问控制管理的职责权限、内容和方法要求，特制定本规定。
2适用范围
本规定适用于信息安全管理体系涉及的所有人员（含组织管理人员、普通员工、第三方人员，以下简称“全体员工”）3术语和定义
4职责
4.1IT部门
a)是本规定的归口管理部门；
b)负责本规定的修订、解释和说明及协调实施工作。
4.2信息安全
进行本规定修订及实施的协调工作
4.3相关部门
贯彻执行本规定的相关规定。
4.4部门管理者
a)各部门管理者作为本部门重要信息资产的负责人承担对资产的管理责任；
b)决定本部门是否要单独制定访问控制方案。
4.5IT负责人
a)负责制定和修改组织的访问控制方案，并使它在资产使用的范围内得到切实的执行；
b)指导IT责任人的工作，并在必要时进行协调。
c)有权指定系统管理员
4.6IT责任人
a)具体制定和修改组织的访问控制方案，提交IT方案负责审核；
b)指导部门IT责任人实施访问控制方案；
c)对访问控制方案的进行定期评审，并提出修改意见。
d)委托系统管理员依照IT部门制定的措施规定进行具体实施和具体操作等。
但即使在这种情况下，访问控制方案实施状况的最终责任，仍然由IT责任人承担。
4.7部门IT责任人
a)如果本部门需单独制定访问控制方案，在部门管理者的授权下制定和修改本部门的访问控制方案，并使它在资产使用的范围内得到切实的执行；
b)在IT责任人的指导下，实施访问控制方案。
c)针对访问控制方案向IT责任人进行问题反馈和提出改善意见。
4.8系统管理员
对于来自IT责任人委托的措施和相关操作，担负着切实履行的责任。
5管理要求
5.1用户认证
组织主要系统，包含组织重要信息的计算机、网络、系统等信息资产的访问控制方案，必须满足《用户标识与口令管理指南》的规定。
5.1.1用户标识控制
相关信息资产责任人所在部门IT责任人为了实现个人认证，需要采取以下措施，部门IT责任人必须管理从用户注册、数据更新到数据删除的用户标识和整个周期，并必须保证它们在上述信息资产使用范围内得到切实的落实。
具体控制包括：
5.1.1.1用户注册分派的流程
a)用户或代理人提交用户标识的申请
b)部门IT责任人核实该用户的身份
c)部门管理者审批
d)用户提交到IT责任人
e)IT责任人委托信息系统管理员实施注册
f)系统管理员向用户分派用户标识。
5.1.1.2用户标识分派的注意事项
a)部门IT责任人必须针对每个人发放各自不贩用户标识
b)禁止发放共享的用户标识或再次发放曾用过的标识。
5.1.2.3用户标识的更新和删除流程
a)用户发生变动时，由部门IT责任人，向IT责任人提出更新或删除申请
b)IT责任人委托系统管理员更新和删除所负责系统上的该用户标识，。
注：用户变动指离职、组织内部调动和第三方人员变动。
5.1.2口令控制管理
部门IT责任人遵循《用户标识与口令管理指南》的规定，实施或指导对口令的控制管理。
具体管理控制措施包括：5.1.2.1口令发放
口令发放参照用户标识进行。
5.1.2.2初始口令和用户选择的口令
用户有责任在首次访问时，对提供给他的初始口令修改为自身选择的符合要求的口令。
5.1.2.3口令的管理
用户有责任对任何保密口令。
用户还必须定期修改口令。
5.2网络的访问控制
5.2.1访问控制要求
a)IT责任人应制定措施和规定，控制从外部对网络的访问，包括来自外问相关方及本组织员工的访问；
b)对网络访问控制的首要规则是拒绝任何类型的未授权的外部访问，可通过在局域网中使用防火墙或其他类似的措施实现。
c)在有必要允许外部相关方访问或组织员工的远程访问的场合，必须采用针对个人的用户认证系统。
5.2.2访问控制措施
IT责任人根据系统的重要程度，必须实施以下的措施和程序；：
5.2.2.1对访问权的审查
IT责任人必须宅基或者在组织的组织结构发生重大变动时及时审查网络访问权限。
5.2.2.2访问记录管理
a)必须管理网络系统的访问日志；
b)网络访问日志须保存一定时间，用于审查跟踪。
5.2.2.3访问的监测
a)对于重要的监测，IT责任人必须建立用于监测的措施和程序；
b)发现非法访问的场合，必须采取中断相关网络通讯的必要步骤。
5.3操作系统的访问控制
5.3.1访问权的提供
a)IT责任人或IT责任（或委托系统管理员）在授予用户对自己负责的系统的访问权的场合，必须对照组织信息安全相关规定，检查用户是否业务需要，资格是否符合，给予用户最适当的访问权；
b)对于最适当的访问权必须包含以下内容：限制访问权的类型，有阅读、更新、执行的权力等；限定访问的对象，为单个文件或文件夹。
5.3.2对访问权的审查
IT责任人或部门IT责任人（或委托系统管理员）必须根据需要或者在组织的组织结构发生重大变动时，及时审核用户的访问权，并根据审查结果更新用户的访问权限。
5.3.3访问记录的管理和监测
对于重要的操作系统，IT责任人或部门重要应用系统的系统管理员必须对系统以及存储在系统中的信息，根据重要程度，制定严格的控制访问的措施和程序。
5.4应用系统的访问控制
5.4.1控制原则
组织重要应用系统和各部门重要应用系统的系统管理员必须对系统以及存储在系统中的信息，根据重要程度，制定严格的控制访问的措施和程序。
5.4.2访问权的提供
a)系统管理员必须根据存储在系统中的信息的重要程度，确定拥有系统访问权的用户
b)在分配用户对系统的访问权时，系统管理员必须依据信息安全规定，检查用户业务的必要性，确认用户的资格，将适当的访问权分配给相应资格的用户。
5.4.3对访问权的提供
系统管理员必须根据或者在组织结构发生重大变动时，及时审查用户的访问权，并根据审查结果更新用户访问权限。
5.4.4访问记录的管理和监测
对重要的应用系统，系统管理员必须保存一定时间段的访问日志，用于审核跟踪。
发现非法访问的场合，采取必要对策。
5.5特权管理
5.5.1任何具有特权的管理员
a)为了适当地管理网络系统、操作系统和应用系统，IT负责人在与各部门管理者协商的基础上，可以任命特权管理员并授权他们拥有在需要的时候更改系统配置的特权。
b)在选择特权管理员时，IT负责人必须仔细审查他们的能力和资质；
c)特权管理员的数量必须处于最低限度。
5.5.2特权管理员的用户标识和口令管理
特权管理员的用户标识和口令必须进行比一般用户更加严格的管理，详细的要求参见《用户标识与口令管理指南》的规定。
5.6外部相关方访问组织信息资产时，IT责任人作为该外部相关方的管理者必须保证对资习采取适当的访问控制。
5.
6.1对该问权的审查
IT责任人应定期和及时审查和核实外部相关方的访问权，并根据审查的结果修改对组织信息资产的访问权限。
5.6.2管理和审查
a)要求和外部相关方责任部门的部门IT责任人，为外部相关方建立账号，向授权访问组织信息资产的外部相关方的每个用户提供有关账号管理和对资产实施正确访问的指示和指导，并监督外部相关方的授权访问；
b)该部门IT责任人必须保证外部相关方的适当访问，必要时可以委托该系统管理员监查他的访问记录。
5.6.3信息安全协议或合同
当向外部相关方人员发放访问组织资产的用户标识时，该部门管理者必须确定已与外部相关方部署过保密协议或者含有保密条款的合同文件。