信息系统权限及数据管理办法.doc

信息系统权限及数据管理办法(试行)
第一章总则
为了加强对******股份有限公司(简称:公司)各运行信息系统权限和数据的管理,明确权限及数据管理相关责任部门,提高信息系统的安全运行和生产能力,规范公司业务系统权限申请及数据管理流程,防范业务系统操作风险,公司制定了信息系统权限及数据管理办法,以供全公司规范执行。
本办法所指信息系统权限及数据包括,但不仅限于公司运行的OA办公系统、业务作业系统、对外网站系统等涉及的系统用户权限分配、日常管理、系统及业务参数管理,以及数据的提取和变更。
本办法遵循责权统一原则对员工进行系统授权管理,控制公司相关信息传播范围或防范进行违规操作。
信息技术部是本办法主要执行部门,设立系统运维岗负责系统用户权限管理、部分基本参数设置、系统数据的提取和变更的具体技术实现。其它相关部门应指定专人(简称:数据权限管理员)负责统一按本办法所制定的流程执行相关操作,或通过工作联系单方式提出需要信息技术部或其它相关部门完成的具体工作内容。
用户授权和权限管理应采取保守原则,选择最小的权限满足用户需求。
第二章系统权限管理
系统权限管理由信息技术部系统运维岗和各业务部门数据权限管理员共同协作完成,风险与合规部数据权限管理员负责对业务部门提出的系统权限进行审批,信息技术部系统运维岗负责对权限进行变更。信息技术部系统运维岗拥有系统管理和用户管理权限(信息技术部可以拥有开发测试环境超级用户权限),风险与合规部拥有超级用户权限,风险与合规部数据权限管理员拥有对权限列表进行查询的权限,以方便行使监督职能。
为有效的进行用户权限管理,各业务部门负责人应掌握系统各功能模块、菜单结构,按功能模块完成
系统中权限角色设计;应熟悉本部门各岗位工作基本情况,有效识别权限与职责的匹配关系。
用户申请使用、增加或者修改系统权限(包括新增员工权限申请、变更、离职员工权限),需填写《系统权限申请表》(见附件五),说明申请用户人事信息、所在部门、岗位、申请理由、申请内容。
信息技术部系统运维岗完成用户权限的设置后,必须将《系统权限申请表》(见附件五)电子文档、纸质文档进行存档,并以邮件方式从信息技术部运维组信箱(IT_yunw@******.)发送至风险与合规部机构信箱,提请风险与合规部对结果进行审核。如在三个工作日内风险与合规部没有作出答复,则信息技术部默认权限设置成功。信息技术部系统运维岗在保证信息安全前提下,通知最终用户启用。电子文档和纸质文档的存档规则如下:
电子文档的在公司文件服务器设置专门目录存放,存档文件名格式为:权限申请+日期+两位序号(部门中文名称).doc,如:权限申请20070723_01(财务部).doc,《批量权限申请表》附于此文档后。
纸质文档《系统权限申请表》(见附件五)由各发起申请的业务部门保存复印件,原件由信息技术部系统运维岗负责临时保存,并定期移交给信息技术部文档管理岗长期保存,以备查阅。
信息技术部系统运维岗完成权限管理设置工作后,需填写文件服务器上的《》(见附件六)。
各部门数据权限管理员应实时跟踪本部门用户离司或更换部门情况,及时申请删除用户权限,并在相应的用户申请表上写明权限变动情况。更换部门后,用户如需使用,则必须由用户新所属部门发起申请。
信息技术部系统运维岗应定期(每季度)抽取系统岗位和用户清单提交给风险与合规部,风险与合规部和各部门负责人根据清单定期对人员权限管理情况进行检查,及时发现可疑授权、可疑使用情况,并及时通报修正。
用户应该审慎使用其系统权限,严守公司保密规定。首次登录后应及时更改初始密码,并定期(每隔三个月)更改密码,严禁泄露自己密码给其他人。对于擅自泄漏用户密码的,经核实后,给予通报批评,对造成严重后果的公司将根据相关制度予以处罚。
系统权限日常管理主要包括:首次上线系统用户权限批量申请流程、日常用户权限申请、变更、终止及检查流程。
对于首次上线系统用户权限批量申请流程
对于首次上线的应用系统,将统一由信息技术部发起权限申请流程。业务部门应向信息技术部提交相关用户岗位权限对应表,最终由信息技术部相关项目项目经理形成请示签报,并附《批量员工权限申请表》。
该请示签报需经过相关业务部门、信息技术部、风险与合规部部门负责人,以及首席运营总监会签后,提交总裁办最终审核。
该请示经总裁办审核通过后,由信息技术部系统运维岗负责执行。
《系统权限申请表》(见附件五)经用人业务部门(或办公室)和风险与合规部进行权限审批后,提交给信息技术部。
日常用户权限申请、变更、终止及检查工作流程:
对于公司OA系统(域用户、上网权限、邮箱)的权限管理,统一由办公室发起权限申请、变更与终止流程。新员工办理入司相关手续后,由办公室数据权限管理