[ISMS-C-16]访问控制策略.docx

访问控制策略发布部门信息安全小组生效时间2019-11-01批准人文件编号ISMS-C-16介绍应根据业务和安全要求，控制对信息和信息系统的访问。目的该策略的目的是为了控制对信息和信息系统的访问。适用范围该策略适用于进行信息和信息系统访问的所有人员。术语定义略访问控制策略 公司内部可公开的信息不作特别限定，允许所有用户访问； 公司内部部分公开信息，根据业务需求访问，访问人员提出申请，经访问授权管理部门认可，访问授权实施部门实施后用户方可访问； 公司网络、信息系统根据业务需求访问，访问人员提出申请，经总经理办公室认可，实施后用户方可访问； 人事行政部按规定周期对访问授权进行检查和评审； 访问权限应及时撤销，如在申请访问时限结束时、员工聘用期限结束时、第三方服务协议中止时； 用户不得访问或尝试访问未经授权的网络、系统、文件和服务； 远程用户应该通过公司批准的连接方式； 用户不得以任何方式私自安装路由器、交换机、代理服务器、无线网络访问点（包括软件和硬件）等； 在信息网、外联网安装新的服务（包括软件和硬件）必须获得部门经理和总经理的批准； 用户不得私自撤除或更换网络设备。惩罚违背该策略可能导致：员工以及临时工被解雇、合同方或顾问的雇佣关系终止、实习人员和志愿者失去继续工作的机会、学生被开除；另外，这些人员还可能遭受信息资源访问权以及公民权的损失，甚至遭到法律起诉。引用标准略