2022年海南省电信有限公司内部控制中册.doc

《2022年海南省电信有限公司内部控制中册.doc》由会员分享，可在线阅读，更多相关《2022年海南省电信有限公司内部控制中册.doc（194页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、海南省电信内部操纵手册施行细则中册目录1对程序和数据的访咨询11.1网络根底设备11.2承载网71.3智能网131.4大客户治理系统201.5营业受理系统271.6计费帐务系统341.7客户效劳系统411.8财务治理系统481.9计划建立治理系统541.10 省级综合结算系统601.11办公自动化系统672程序变更治理742.1网络根底设备742.2承载网782.3智能网822.4大客户治理系统872.5营业受理系统922.6计费帐务系统972.7客户效劳系统1022.8财务治理系统1072.9计划建立治理系统1122.10 省级综合结算系统1172.11办公自动化系统1223程序开发1274

2、系统运转1324.1网络根底设备1324.2承载网1374.3智能网1424.4大客户治理系统1474.5营业受理系统1524.6计费帐务系统1574.7客户效劳系统1624.8财务治理系统1674.9计划建立治理系统1724.10省级综合结算系统1774.11办公自动化系统1825最终用户计算1871对程序和数据的访咨询1.1网络根底设备一、业务流程范围1所涉及的业务范围逻辑平安和物理平安、用户帐号的添加、修正及删除操纵、用户帐号的定期批阅、职责分工操纵。2所涉及的部门范围所有部门。二、所涉及的计算机系统所有在DCN网上的系统。三、目的1关于与财务报告相关的信息，公司应制定相关的信息平安治理

3、政策并使员工认识到公司对信息平安重要性的注重。2对公司信息技术资源的物理访咨询及逻辑访咨询已建立起通过用户身份的识别，认证及受权的治理机制，以降低由于对系统及数据的未经受权的访咨询所带来的风险。3建立相关流程以确保用户添加、修正、删除都通过治理层受权，及相关操作的精确性和及时性。 4确保定期对系统中用户的访咨询权限进展批阅，以减少未经受权或不适当的对系统或数据进展访咨询而带来的风险。5确保在关键流程中存在适当的职权别离。四、风险1公司缺乏可遵照的信息平安治理政策，信息平安治理不标准，增加信息平安隐患。2 缺乏必要的物理访咨询及逻辑访咨询治理机制，导致对信息资源的未经受权的访咨询, 非法修正系统

4、数据。3对添加、修正、删除用户未通过治理层受权，离任员工帐号未及时在系统中删除，导致对系统及数据未经受权或不适当访咨询。4对系统或数据非法和不适当的访咨询不能被及时发觉。5系统的权限分配与业务部门受权确定的职责分工要求不符。五、相关会计科目所有会计科目。六、流程概述1 信息平安治理省公司在组织中建立了信息平安职能，并制定相应的组织构造图及部门、人员职责描绘文档。省公司制定了正式并通过治理层批准的信息平安政策，范围包括所有与生成财务报告的程序和数据相关的信息技术环境（例如网络平安、物理平安、操作系统平安、应用程序平安等方面）。用户和信息技术人员都应知晓本公司的信息平安政策。2 用户帐号的治理2.

5、1 超级用户帐号的治理网络治理员用户帐号的使用仅限于经受权人员,这类用户帐号的受权须经网络维护部门领导的书面受权审批。在网络治理员工作调动或离任等工作职能发生变化时，由人力资源部门正式以书面方式及时通知相关的网络维护部门，由系统治理员更新或删除其相应的访咨询权限。2.2 用户帐号访咨询权限的定期批阅网络维护部门主管人员或业务部门对网络治理员帐号和访咨询权限进展每半年批阅，以发觉任何不适宜的访咨询权限。发觉的咨询题要及时跟进处理。批阅结果留下书面记录。网络维护部门主管人员每半年对机房访咨询权限清单进展批阅，假如发觉不恰当用户的存在及时通知机房治理人员取消相应用户的受权。3 信息系统的的逻辑访咨询

6、和物理访咨询对网络治理员的治理访咨询采纳身份验证机制，对网络设备的治理访咨询必须使用用户名和密码，而且每个网络治理员帐号被授予唯一的网络治理员。假如由于系统限制存在网络治理员帐号共享，其密码在其中任一治理员离任时及时更改，以防止非法访咨询。网络维护部门对网络治理员帐号的密码制定密码政策，以防止用户使用平安级别低的密码。密码政策包括: 用户密码长度位数规定，密码应定期更新。关于使用密钥棒或动态密码卡的网络设备，需要配合使用由用户掌握的PIN码。网络治理员负责每周检查网络平安日志记录，发觉异常现象应及时跟进或上报。网络设备等硬件设备存放在平安的机房中，所有出入口均具备电子门禁系统或门锁的保护。只有

7、通过受权的人员可对存放有与财务报表相关的网络机房和设备进展物理访咨询。所有对机房的访咨询受权需经网络维护部门主管书面审批。非受权人员出入机房必须由机房工作人员陪同。人员进出机房会在机房门禁系统或机房进出登记记录中留下记录。公司在内部网络与互联网或其他外部网络的网络连接处安装防火墙，以防止对公司内部网络的非法访咨询。只有指定的网络治理员才能拥有防火墙治理帐号，并进展防火墙规则的更改。七、信息技术操纵点信息技术操纵点监视检查方法1 信息平安治理HN.A.1.1.1省公司在组织中建立了信息平安职能，具有信息平安治理的工作职责。检查组织构造图及部门、人员职责描绘文档。HN.A.1.1.2省公司制定了正

8、式并通过治理层批准的信息平安政策，为信息技术环境，包括应用程序、数据库和信息技术根底设备的信息平安提供指南。用户和信息技术人员都应知晓本公司的信息平安政策。检查信息平安政策,访谈用户是否知晓本公司的信息平安政策。2 用户帐号的治理2.1 超级用户帐号的治理HN.A.1.2.1网络治理员用户帐号的使用仅限于经受权人员。这些用户帐号的受权须经网络维护部门的主管人员的书面受权审批。检查网络治理员帐号清单，检查系统治理员帐号的审批文件。HN.A.1.2.2在网络治理员工作调动或离任等工作职能发生变化时，及时由人力资源部门正式以书面方式通知相关的网络维护部门，由系统治理员更新或删除其相应的访咨询权限。抽

9、查人员变更的书面通知，检查离任人员的帐号是否已完全删除。2.2用户帐号访咨询权限的定期批阅HN.A.1.2.3网络维护部门主管人员对网络治理员帐号和访咨询权限每半年进展批阅，以发觉任何不适宜的系统访咨询权限。发觉的咨询题及时跟进处理。检查批阅书面记录。HN.A.1.2.4网络维护部门主管人员每半年对机房访咨询权限清单进展批阅，假如发觉不恰当用户的存在，则及时通知机房治理人员取消相应用户的受权。检查批阅书面记录。3 信息系统的的逻辑访咨询和物理访咨询HN.A.1.3.1对网络治理员的治理访咨询采纳身份验证机制，对网络设备的治理访咨询必须使用用户名和密码，而且每个网络治理员帐号被授予唯一的网络治理

10、员。假如由于系统限制存在网络治理员帐号共享，其密码在其中任一治理员离任时及时更改，以防止非法访咨询。观察系统登陆过程。检查治理员用户离任时的密码修正记录。HN.A.1.3.2网络维护部门对网络治理员帐号的密码制定密码政策，以防止用户使用平安级别低的密码。密码政策包括: 用户密码长度不得低于6位 密码应至少每90天进展更新关于使用密钥棒或动态密码卡的系统，需要配合使用由用户掌握的PIN码。观察网络设备的密码配置。HN.A.1.3.3网络治理员负责每周检查网络平安日志记录，发觉异常现象应及时跟进或上报。检查网络治理员对网络平安日志检查的书面记录。HN.A.1.3.4网络设备等硬件设备存放在平安的机

11、房中。所有出入口均具备电子门禁系统或门锁的保护。人员进出机房会在机房门禁系统或机房进出登记记录中留下记录。观察机房平安措施。检查人员进出机房的记录。HN.A.1.3.5只有通过受权的人员可对存放网络设备的机房和设备进展物理访咨询。对机房的访咨询受权需经网络维护部门主管人员审批。非受权人员出入机房必须由机房工作人员陪同。检查机房访咨询清单和机房访咨询受权单。HN.A.1.3.6公司在内部网络与互联网或其他外部网络的网络连接处安装防火墙，以防止对公司内部网络的非法访咨询。检查网络拓扑图，检查防火墙规则设置。HN.A.1.3.7只有指定的网络治理员才能拥有防火墙治理帐号，并进展防火墙规则的更改。检查

12、防火墙治理帐号列表，检查防火墙治理人员名单。八、主要操纵点的相关文件1网络访咨询申请表2员工工作调动/离任通知单3网络治理员（网络设备及防火墙）帐号申请表4网络治理员帐号/权限检查表5机房访咨询权限检查表6网络平安日志检查表7机房进出登记簿8 机房访咨询权限申请表九、相关制度和备查文件 1 少人无人值守机房治理要求（试行）1.2承载网一、业务流程范围1所涉及的业务范围逻辑平安和物理平安、用户帐号的添加、修正及删除操纵、用户帐号的定期批阅、职责分工操纵。2所涉及的部门范围运转维护部门、计费帐务部门、市场部门。二、所涉及的计算机系统小灵通程控交换机和汇接局程控交换机以及网管终端。三、目的1关于与财

13、务报告相关的信息，公司应制定相关的信息平安治理政策并使员工认识到公司对信息平安重要性的注重。2对公司信息技术资源的物理访咨询及逻辑访咨询已建立起通过用户身份的识别，认证及受权的治理机制，以降低由于对系统及数据的未经受权的访咨询所带来的风险。3建立相关流程以确保用户添加、修正、删除都通过治理层受权，及相关操作的精确性和及时性。 4确保定期对系统中用户的访咨询权限进展批阅，以减少未经受权或不适当的对系统或数据进展访咨询而带来的风险。5 确保在关键流程中存在适当的职权别离。四、风险1公司缺乏可遵照的信息平安治理政策，信息平安治理不标准，增加信息平安隐患。2缺乏必要的物理访咨询及逻辑访咨询治理机制，导

14、致对信息资源的未经受权的访咨询, 非法修正系统数据。3对添加、修正、删除用户未通过治理层受权，离任员工帐号未及时在系统中删除，导致对系统及数据未经受权或不适当访咨询。4对系统或数据非法和不适当的访咨询不能被及时发觉。5系统的权限分配与业务部门受权确定的职责分工要求不符。五、相关会计科目收入类科目。六、流程概述1 信息平安治理省公司按照信息产业部或集团公司的相关规定和标准，对承载网的计费相关设备进展定期检查并保存书面的检查记录，严格确保交换网的设备平安。2 用户帐号的治理2.1 超级用户帐号的治理承载网的交换机及网管终端的治理员帐号的使用仅限于经严格认证的受权人员。治理员帐号的受权经运转维护部门

15、及相关各级主管人员的书面审批。受权审批文档集中归档。对治理员帐号在承载网的设备及治理终端的访咨询及操作要记录并保存日志，并由运转维护部门主管人员每周批阅。在治理员工作调动或离任等工作职能发生变化时，及时由人力资源部门正式以书面方式通知运转维护部门，按照承载网治理员帐号的治理流程，由系统治理员更新或删除其相应的访咨询权限。2.2 用户帐号访咨询权限的定期批阅运转维护部门主管人员每半年对承载网的治理员帐号进展批阅，以发觉任何不适宜的治理员访咨询权限。发觉的咨询题要及时跟进处理。批阅结果留下书面记录。运转维护部门主管人员每半年对电信机房的访咨询权限清单进展批阅，假如发觉不恰当用户的存在及时通知机房治

16、理人员取消相应用户的受权。3 信息系统的的逻辑访咨询和物理访咨询对承载网治理员帐号的访咨询采纳身份验证机制，对网管终端的访咨询必须使用用户名和密码，而且每个承载网治理员帐号被授予唯一的维护治理人员。假如由于系统限制存在治理员帐号共享，其密码在其中任一治理员离任时及时更改，以防止非法访咨询。按照省公司对访咨询承载网的网管终端的相关规定，对承载网的治理软件固化相应的密码政策设置，以确保用户使用平安级别高的密码。密码政策包括: 用户密码长度最低位数的规定，密码定期更换的规定，不得使用最近的密码。运转维护部门治理人员定期审核承载网的交换机以及网管终端（包括操作系统和专用治理软件）的平安日志记录，识别潜

17、在的违规，如发觉平安咨询题按照相关的治理规定及时上报。承载网的承载网的交换机以及网管终端等硬件设备必须存放在符合信息产业部、集团公司及省公司制定的平安标准的机房中。所有出入口均具备电子门禁系统或门锁的保护。人员进出机房时在机房门禁系统或机房进出登记簿中留下记录。只有通过受权的人员可对存放有承载网的交换机以及网管终端等设备的电信机房和设备进展物理访咨询。对电信机房的访咨询受权通过各级相关部门主管人员的书面审批。按照相关规定及平安标准，对电信机房进展严格的环境监控（如24小时闭路电视监控、防盗监控系统等），以及时发觉对电信机房未经受权的访咨询并进展处理。监控系统必须留下环境监控的记录。承载网的交换

18、机以及网管终端必须确保与外网/公网的隔离，并通过网络平安操纵手段阻止内网的不适当访咨询。4 职责分工按照相关的规定，对维护承载网的计费相关设备的维护治理员，特别是具有访咨询治理终端权限的维护治理员，必须遵照严格的职责分工。按照相关的规定，实行多级的治理权限划分，关于通话记录(CDR)数据的访咨询仅限于有最高平安权限的治理员。七、信息技术操纵点信息技术操纵点监视检查方法1 信息平安治理HN.B.1.1.1 省公司按照信息产业部或集团公司的相关规定和标准，对承载网的计费相关设备进展定期检查并保存书面的检查记录，严格确保交换网的设备平安。检查相关的文件。2 用户帐号的治理2.1 超级用户帐号的治理H

19、N.B.1.2.1承载网的交换机及网管终端的治理员帐号的使用仅限于经严格认证的受权人员。治理员帐号的受权经运转维护部门及相关各级主管人员的书面审批。受权审批文档集中归档。检查承载网治理员帐号清单，检查承载网治理员帐号的审批文件。HN.B.1.2.2对治理员帐号在承载网的设备及治理终端的访咨询及操作要记录并保存日志，并由运转维护部门主管人员每周批阅。检查批阅书面记录。HN.B.1.2.3在治理员工作调动或离任等工作职能发生变化时，及时由人力资源部门正式以书面方式通知运转维护部门，按照承载网治理员帐号的治理流程，由系统治理员更新或删除其相应的访咨询权限。抽查人员变更的书面通知，检查离任人员的帐号是

20、否已完全删除。检查治理员用户离任时的密码修正记录。2.2用户帐号访咨询权限的定期批阅HN.B.1.2.4运转维护部门主管人员每半年对承载网的治理员帐号进展批阅，以发觉任何不适宜的治理员访咨询权限。发觉的咨询题要及时跟进处理。批阅结果留下书面记录。检查批阅书面记录。HN.B.1.2.5运转维护部门主管人员每半年对电信机房的访咨询权限清单进展批阅，假如发觉不恰当用户的存在及时通知机房治理人员取消相应用户的受权。检查批阅书面记录。3 信息系统的的逻辑访咨询和物理访咨询HN.B.1.3.1对承载网治理员帐号的访咨询采纳身份验证机制，对网管终端的访咨询必须使用用户名和密码，而且每个承载网治理员帐号被授予

21、唯一的维护治理人员。假如由于系统限制存在治理员帐号共享，其密码在其中任一治理员离任时及时更改，以防止非法访咨询。观察系统登陆过程。HN.B.1.3.2按照省公司对访咨询承载网的网管终端的相关规定，对承载网的治理软件固化相应的密码政策设置，以确保用户使用平安级别高的密码。密码政策包括: 用户密码长度不得低于6位 密码应至少每90天进展更新 不得使用最近的密码检查网管终端的密码设置。HN.B.1.3.3运转维护部门治理人员每周审核承载网的交换机以及网管终端（包括操作系统和专用治理软件）的平安日志记录，识别潜在的违规，如发觉平安咨询题按照相关的治理规定及时上报。检查治理人员对平安日志检查的书面记录。

22、HN.B.1.3.4承载网上交换机以及网管终端等硬件设备必须存放在符合信息产业部、集团公司及省公司制定的平安标准的机房中。所有出入口均具备电子门禁系统或门锁的保护。人员进出机房会在机房门禁系统或机房进出登记记录中留下记录。观察机房平安措施、检查人员进出机房的记录。HN.B.1.3.5只有通过受权的人员可对存放有承载网的交换机以及网管终端等设备的电信机房和设备进展物理访咨询。对电信机房的访咨询受权通过各级相关部门主管人员的书面审批。检查机房访咨询清单和机房访咨询受权单。HN.B.1.3.6按照相关规定及平安标准，对电信机房进展严格的环境监控（如24小时闭路电视监控、防盗监控系统等），以及时发觉对

23、电信机房的未经受权的访咨询并进展处理。监控系统必须留下环境监控的记录。检查环境监控记录。HN.B.1.3.7承载网的交换机以及网管终端必须确保与外网/公网的隔离，并通过网络平安操纵手段阻止内网的不适当访咨询。检查网络拓扑图。4 职责分工HN.B.1.4.1按照相关的规定，对维护承载网上计费相关设备的维护治理员，特别是具有访咨询治理终端的权限的维护治理员，必须遵照严格的职责分工。按照相关的规定，实行多级的治理权限划分，关于通话记录(CDR)数据的访咨询仅限于经受权人员。检查权限分配名单。八、主要操纵点的相关文件1承载网治理员岗位受权书2承载网治理员认证3承载网治理员操作日志批阅表4员工工作调动/

24、离任通知单5承载网治理员帐号/权限检查表6电信机房访咨询权限检查表7承载网平安日志检查表8电信机房进出登记簿9电信机房访咨询权限申请表10电信机房环境监控日志11承载网治理员权限分配方案九、相关制度和备查文件1 少人无人值守机房治理要求（试行）1.3智能网一、业务流程范围1所涉及的业务范围逻辑平安和物理平安、用户帐号的添加、修正及删除操纵、用户帐号的定期批阅、职责分工操纵。2所涉及的部门范围市场部门、计费部门、运转维护部门。二、所涉及的计算机系统智能网（综合信息平台,SP网关,贝尔平台(卡计费),固网短信平台）。三、目的1关于与财务报告相关的信息，公司应制定相关的信息平安治理政策并使员工认识到

25、信息平安的重要性。2对公司信息技术资源的物理访咨询及逻辑访咨询已建立起通过用户身份的识别，认证及受权的治理机制，以降低由于对系统及数据未经受权的访咨询所带来的风险。3建立相关流程以确保用户添加、修正、删除都通过治理层受权，及相关操作的精确性和及时性。 4确保定期对系统中用户的访咨询权限进展批阅，以减少未经受权或不适当的对系统或数据进展访咨询而带来的风险。5 确保在关键流程中存在适当的职权别离。四、风险1公司缺乏可遵照的信息平安治理政策，信息平安治理不标准，增加信息平安隐患。2缺乏必要的物理访咨询及逻辑访咨询治理机制，导致对信息资源未经受权的访咨询, 非法修正系统数据。3对添加、修正、删除用户未

26、通过治理层受权，离任员工帐号未及时在系统中删除，导致对系统及数据未经受权或不适当访咨询。4对系统或数据非法和不适当的访咨询不能被及时发觉。5系统的权限分配与业务部门受权确定的职责分工要求不符。五、相关会计科目收入类科目。六、流程概述1 信息平安治理参见网络根底设备中本章节。2 用户帐号的治理2.1 用户帐号的添加、修正及删除操纵省公司建立了用户及其权限设置的治理流程，对智能网系统的用户创立和受权必须通过业务部门主管人员审批后，方可由系统治理员在系统中创立用户帐号，以防止未经受权帐号及权限的创立或修正。在员工工作调动或离任等工作职能发生变化时，由人力资源部门或相关业务部门及时正式书面通知系统维护

27、部门，由系统治理员更新或删除其相应的访咨询权限。2.2 超级用户帐号的治理以下各超级用户帐号/特权功能用户帐号的使用仅限于经受权人员： 操作系统的超级用户帐号 (比方root用户，系统治理员，平安治理员帐号，批处理用户帐号)。 帐号数据库的超级用户帐号（比方数据库治理员）。 帐号智能网系统的特权功能用户帐号（例如具有增加/变更/删除用户等权限）。以上用户帐号的受权须经系统维护部门主管人员或相关业务部门主管人员的书面审批。智能网系统的治理账号（包括操作系统、数据库和应用程序层面）假如由于系统限制存在共享，其密码在其中任一治理员离任时需及时更改，以防止非法访咨询。2.3 用户帐号访咨询权限的定期批

28、阅系统维护部门主管人员或业务部门对智能网系统的用户帐号和用户访咨询权限进展每半年批阅，以发觉任何不适宜的系统访咨询权限。发觉的咨询题要及时跟进处理。批阅结果留下书面记录。帐号系统维护部门主管人员每半年对机房访咨询权限清单进展批阅，假如发觉存在不适当用户及时通知机房治理人员取消相应用户的受权。3 信息系统的逻辑访咨询和物理访咨询在智能网系统中采纳用户身份的验证机制，对智能网系统的访咨询必须使用用户名和密码，而且每个用户帐号被授予唯一的用户。系统维护部门对访咨询智能网系统（包括操作系统、数据库和应用程序层面）的用户（含超级用户）制定密码政策，并依照密码政策在系统固化相应的设置，以防止用户使用平安级

29、别低的密码。密码政策应包括:用户密码长度最低位数的规定，密码定期更换的规定，不得使用最近的密码。关于使用密钥棒或动态密码卡的系统，需要配合使用由用户掌握的PIN码。系统治理员负责每周检查智能网系统应用程序、操作系统和数据库层面平安日志记录（含关于重要的数据增、删、改操作），发觉异常现象应及时跟进或上报。安装智能网系统应用程序、操作系统和数据库的硬件设备存放在平安的机房中。所有出入口均具备电子门禁系统或门锁的保护。只有经受权的人员可对存放智能网系统设备的计算机机房和设备进展物理访咨询。对机房的访咨询受权须经系统维护部门主管书面审批。非受权人员出入机房必须由机房工作人员陪同。人员进出机房会在机房门

30、禁系统或机房进出日志中留下记录。4 职责分工在智能网系统中创立新用户角色或对用户组(或用户)角色定义进展修正时，依照业务部门或相关治理部门对用户角色权限的审批结果进展设定。公司通过不同工作岗位关于系统资源访咨询的限制来到达不相容职责分工的目的。内审或者用户部门每半年检查智能网系统的用户角色或用户组的权限设定,确保合理的职责分工。如发觉权限分配的咨询题，应及时跟进处理。七、信息技术操纵点信息技术操纵点监视检查方法1 信息平安治理参见网络根底设备中本章节。2 用户帐号的治理2.1 用户帐号的添加、修正及删除操纵HN.C.1.2.1省公司建立了用户及其权限设置的治理流程，对智能网系统的用户创立和受权

31、必须通过业务部门主管审批后，方可由相关的系统治理员在系统中创立用户帐号。检查用户及其权限设置的治理流程, 抽查用户创立和受权的审批文件。HN.C.1.2.2在员工工作调动或离任等工作职能发生变化时，及时由人力资源部门或相关业务部门正式以书面方式通知系统维护部门，由系统治理员更新或删除其相应的访咨询权限。抽查人员访咨询权限的删除书面通知，检查离任用户帐号是否已完全删除。2.2 超级用户帐号的治理HN.C.1.2.3智能网系统的操作系统治理帐号仅限于经受权的系统治理员，其帐号须经系统维护部门主管的书面受权审批。检查系统治理帐号清单，检查系统治理员帐号的审批文件。HN.C.1.2.4智能网系统数据库

32、的治理帐号仅限于经受权的数据库治理员，其帐号须经系统维护部门主管的书面受权审批。 检查数据库治理帐号清单，检查数据库治理员帐号的审批文件。HN.C.1.2.5智能网系统的特权用户（例如具有增加/变更/删除用户等权限）仅限于经受权的系统治理人员，其帐号须经系统维护部门主管或相关业务部门主管的书面受权审批。检查特权用户治理帐号清单，检查特权用户治理员帐号的审批文件。HN.C.1.2.6 智能网系统的治理账号（包括操作系统、数据库和应用程序层面）假如由于系统限制存在共享，其密码在其中任一治理员离任时需及时更改，以防止非法访咨询。检查治理员用户离任时的密码修正记录。2.3用户帐号访咨询权限的定期批阅H

33、N.C.1.2.7系统维护部门主管或业务部门对智能网系统的用户帐号和用户访咨询权限进展每半年批阅，以发觉任何不适宜的系统访咨询权限，并及时跟进处理。检查批阅书面记录。HN.C.1.2.8系统维护部门主管人员每半年对机房访咨询权限清单进展批阅，假设发觉存在不适宜的用户，及时通知机房治理人员取消其相应的受权。检查批阅书面记录。3 信息系统的的逻辑访咨询和物理访咨询HN.C.1.3.1在智能网系统中采纳用户身份的验证机制，对智能网系统的访咨询必须使用用户名和密码，而且每个用户帐号被授予唯一的用户。观察系统登陆过程。HN.C.1.3.2系统维护部门对访咨询智能网系统（包括操作系统、数据库和应用程序层面

34、）的用户（含超级用户）制定密码政策，并依照密码政策在系统中固化相应的设置，以防止用户使用平安级别低的密码。密码政策详细包括: 用户密码长度不得低于6位 密码应至少每90天进展更新 不得使用最近的密码关于使用密钥棒或动态密码卡的系统，需要配合使用由用户掌握的PIN码。观察系统密码设置。HN.C.1.3.3系统治理员负责每周检查智能网系统应用程序、操作系统和数据库层面平安日志记录（含关于重要的数据增、删、改操作），发觉异常现象及时跟进或上报。检查系统平安日志记录和定期检查的记录。HN.C.1.3.4安装智能网系统应用程序、操作系统和数据库的硬件设备存放在平安的机房中。所有出入口均具备电子门禁系统或

35、门锁的保护。人员进出机房会在机房门禁系统或机房进出日志中留下记录。观察机房平安措施、检查人员进出机房的记录。HN.C.1.3.5只有经受权的人员可对存放智能网系统设备的计算机机房和设备进展物理访咨询。对机房的访咨询受权须经系统维护部门主管人员书面审批。非受权人员出入机房必须由机房工作人员陪同。检查机房访咨询清单和机房访咨询受权单。4 职责分工HN.C.1.4.1在智能网系统中创立新用户角色或对用户组(或用户)角色定义进展修正时，依照用户部门或相关业务部门对用户角色权限的审批结果进展设定。公司通过不同工作岗位关于系统资源访咨询的限制来到达不相容职责分工的目的。检查用户权限审批文件，观察系统用户权

36、限配置。HN.C.1.4.2内审或者用户部门每半年检查系统的用户角色或用户组的权限设定, 确保合理的职责分工。发觉咨询题及时跟进处理。检查职责分工的检查记录。八、主要操纵点的相关文件1用户（组）创立及系统访咨询权限申请表2员工工作调动/离任通知单3系统治理员（操作系统/数据库）帐号申请表4系统特权用户帐号申请表5系统帐号/权限检查表6机房访咨询权限检查表7系统平安日志检查表8机房进出登记簿9机房访咨询权限申请表10系统用户（组）权限分配批阅报告11 职责分工检查报告九、相关制度和备查文件1 少人无人值守机房治理要求（试行）1.4大客户治理系统一、业务流程范围1所涉及的业务范围逻辑平安和物理平安

37、、用户帐号的添加、修正及删除操纵、用户帐号的定期批阅、职责分工操纵。2所涉及的部门范围信息技术部门, 大客户部门。二、所涉及的计算机系统海南电信营销渠道支撑系统，一站式大客户业务处理系统。三、目的1关于与财务报告相关的信息，公司应制定相关的信息平安治理政策并使员工认识到信息平安的重要性。2对公司信息技术资源的物理访咨询及逻辑访咨询已建立起通过用户身份的识别，认证及受权的治理机制，以降低由于对系统及数据未经受权的访咨询所带来的风险。3建立相关流程以确保用户添加、修正、删除都通过治理层受权，及相关操作的精确性和及时性。 4确保定期对系统中用户的访咨询权限进展批阅，以减少未经受权或不适当的对系统或数

38、据进展访咨询而带来的风险。5确保在关键流程中存在适当的职权别离。四、风险1公司缺乏可遵照的信息平安治理政策，信息平安治理不标准，增加信息平安隐患。2缺乏必要的物理访咨询及逻辑访咨询治理机制，导致对信息资源未经受权的访咨询, 非法修正系统数据。3对添加、修正、删除用户未通过治理层受权，离任员工帐号未及时在系统中删除，导致对系统及数据未经受权或不适当访咨询。4对系统或数据非法和不适当的访咨询不能被及时发觉。5系统的权限分配与业务部门受权确定的职责分工要求不符。五、相关会计科目主营业务收入。六、流程概述1 信息平安治理参见网络根底设备中本章节。2 用户帐号的治理2.1 用户帐号的添加、修正及删除操纵

39、集团公司或省公司建立了用户及其权限设置的治理流程，对大客户治理系统的用户创立和受权必须通过系统主管人员审批后，方可由相关的系统治理员在系统中创立用户帐号，以防止未经受权帐号及权限的创立或修正。在员工工作调动或离任等工作职能发生变化时，由人力资源部门或用户部门及时正式书面通知系统维护部门，由系统治理员更新或删除其相应的访咨询权限。2.2 超级用户帐号的治理以下各超级用户帐号/特权功能用户帐号的使用仅限于经受权人员： 操作系统的超级用户帐号 (比方root用户，系统治理员，平安治理员帐号，批处理用户帐号)。 数据库的超级用户帐号（比方数据库治理员）。 应用系统的特权功能用户帐号（例如具有增加/变更

40、/删除用户等权限）。以上用户帐号的受权须经系统维护部门主管人员或系统主管人员的书面审批。大客户治理系统的治理账号（包括操作系统、数据库和应用程序层面）假如由于系统限制存在共享，其密码在其中任一治理员离任时需及时更改，以防止非法访咨询。2.3 用户帐号访咨询权限的定期批阅用户部门主管人员或业务部门对大客户治理系统的用户帐号和用户访咨询权限进展每半年批阅，以发觉任何不适宜的系统访咨询权限帐号。发觉的咨询题要及时跟进处理。批阅结果留下书面记录。系统维护部门主管人员每半年对机房访咨询权限清单进展批阅，假如发觉存在不适当用户及时通知机房治理人员取消相应用户的受权。3 信息系统的逻辑访咨询和物理访咨询在大

41、客户治理系统中采纳用户身份的验证机制，对大客户治理系统的访咨询必须使用用户名和密码，而且每个用户帐号被授予唯一的用户。系统维护部门对访咨询大客户治理系统（包括操作系统、数据库和应用程序层面）的用户（含超级用户）制定密码政策，并依照密码政策在系统中固化相应的设置，以防止用户使用平安级别低的密码。密码政策应包括:用户密码长度最低位数的规定，密码定期更换的规定，不得使用最近的密码。关于使用密钥棒或动态密码卡的系统，需要配合使用由用户掌握的PIN码。系统治理员负责每周检查大客户治理系统应用程序、操作系统和数据库层面平安日志记录（含关于重要的数据增、删、改操作），发觉异常现象及时跟进或上报。安装大客户治

42、理系统应用程序、操作系统和数据库的硬件设备存放在平安的机房中。所有出入口均具备电子门禁系统或门锁的保护。只有经受权的人员可对存放大客户治理系统的计算机机房和设备进展物理访咨询。对机房的访咨询受权需经系统维护部门主管人员书面审批。非受权人员出入机房必须由机房工作人员陪同。人员进出机房会在机房门禁系统或机房进出日志中留下记录。4 职责分工在大客户治理系统中创立新用户角色或对用户组(或用户)角色定义进展修正时，依照用户部门或相关治理部门对用户角色权限的审批结果进展设定。公司通过不同工作岗位关于系统资源访咨询的限制来到达不相容职责分工的目的。内审或者用户部门每半年检查大客户治理系统的用户角色或用户组的

43、权限设定，确保合理的职责分工, 如发觉咨询题，应及时跟进处理。七、信息技术操纵点信息技术操纵点监视检查方法1 信息平安治理 参见网络根底设备中本章节。2 用户帐号的治理2.1 用户帐号的添加、修正及删除操纵HN.E.1.2.1集团公司或省公司建立了用户及其权限设置的治理流程，对大客户治理系统的用户创立和受权必须通过业务部门主管人员审批后，方可由相关的系统治理员在系统中创立用户帐号。检查用户及其权限设置的治理流程, 抽查用户创立和受权的审批文件。HN.E.1.2.2在员工工作调动或离任等工作职能发生变化时，及时由人力资源部门或用户部门正式书面通知系统维护部门, 并通报至集团公司, 由相关的系统治

44、理员更新或删除其相应的访咨询权限。抽查人员变更书面通知，检查离任用户是否已完全删除。 2.2 超级用户帐号的治理HN.E.1.2.3大客户治理系统的操作系统治理帐号仅限于经受权的系统治理员，其帐号须经系统维护部门主管人员的书面受权审批。检查系统治理帐号清单，检查系统治理员帐号的审批文件。HN.E.1.2.4大客户治理系统的数据库治理帐号仅限于经受权的数据库治理员，其帐号须经系统维护部门主管人员的书面受权审批。检查数据库治理帐号清单，检查数据库治理员帐号的审批文件。HN.E.1.2.5大客户治理系统的特权用户（例如具有增加/变更/删除用户等权限）仅限于经受权的系统治理人员或业务人员，其帐号须经系

45、统维护部门主管人员的书面受权审批。检查特权用户治理帐号清单，检查特权用户治理员帐号的审批文件。HN.E.1.2.6 大客户治理系统的治理账号（包括操作系统、数据库和应用程序层面）假如由于系统限制存在共享，其密码在其中任一治理员离任时需及时更改，以防止非法访咨询。检查治理员用户离任时的密码修正记录。2.3用户帐号访咨询权限的定期批阅HN.E.1.2.7系统主管人员或业务部门对大客户治理系统的用户帐号和用户访咨询权限进展每半年批阅，以发觉任何不适宜的系统访咨询权限帐号，并及时跟进处理。检查批阅书面记录。HN.E.1.2.8系统维护部门主管人员每半年对机房访咨询权限清单进展批阅，假设发觉存在不适宜的用户，及时通知机房治理人员取消其相应的受权。检查批阅书面记录。3 信息系统的的逻辑访咨询和物理访咨询HN.E.1.3.1在大客户治理系统中采纳用户身份的验证机制，对大客户治理系统的访咨询必须使用用户名和密码，而且每个用户帐号被授予唯一的用户。观察系统登陆过程。HN.E.1.3.2系统维护部门对访咨询大客户治理系统（包括操作系统、数据库和应用程序层面）的用户（含超级用户）制定密码政策，并依照密码政策在系统中固化相应的设置，以防止用户使用平安级别低的密码。密码政