炼油厂——信息系统应用管理规定.doc

沧州分公司企业标准
信息系统应用管理办法
QG/SHCZ 03·208-2008 (A/0)
1 范围
本标准规定了管理信息系统的应用管理的要求。
本标准适用于沧州分公司所有信息系统的应用管理活动的管理。
2 规范性引用文件
《中国石油化工股份有限公司管理信息系统应用管理办法(试行)》。
3 职责和权限
信息中心是本标准的归口管理部门。负责企业管理信息系统的应用管理工作,并进行监督、检查和考核。
4 管理内容与控制要求
用户权限管理
要加强管理信息系统的用户权限管理,按照“岗位需要、权责对等、统一授权”的原则,对用户进行分类分级管理,明确各级用户职责,严格控制权限范围。
重要的管理信息系统,要配备专职或兼职应用系统管理员,兼职应用系统管理员的职责应遵循不相容岗位原则,主要负责应用系统用户增加、删除、权限分配与变更;系统用户及权限定期审核;应用系统数据备份与恢复;应用系统日常维护等工作。
数据库管理员、操作系统管理员(以下统称系统管理员)和应用系统管理员的任命要经过严格审批和定期审核。应用系统管理员和系统管理员不能由同一人担任。
对访问信息系统的用户要有严格的申请审批流程,用户的增加、删除、权限变更必须填写申请表,经相关部门负责人审批后,方可访问系统;系统按权限组或角色分配用户权限时,权限组、角色的定义要经过相关负责人审批。
系统管理员要在岗位职责权限范围内做好系统监控、备份、恢复、系统变更等工作,记录操作过程并形成相关文档,不得进行职责权限范围以外的具体业务处理和操作。
应用系统管理员至少每半年检查一次系统中的用户和权限及使用情况,发现有异常情况及时向相关部门负责人汇报;相关部门负责人要定期审核系统内用户清单及权限是否与其岗位职责相符,如有不符,及时通知应用系统管理员做出调整。
用户访问管理
应用系统中用户帐号不得重复;业务操作账号不得共享,对查询、加油站班组等共享账号的申请审批要严格控制,并定期审核。
要严格控制第三方人员对系统的访问,第三方人员必须访问系统时,应填写账号申请表,说明账号使用的原因、时间和期限,并由相关部门负责人批准,到期要及时删除或锁定其账号。
开发人员不得进入生产环境,确有需要时,开发人员临时进入生产系统要经过严格审批和授权,到期要及时删除或锁定开发人员的账号。
应用系统管理员要定期审核系统内的用户账号清单,发现异常情况及时向相关部门负责人汇报。
系统用户须妥善管理自己的用户账号,用户账号只限本人使用,不得转借他人,临时离开时要退出系统或锁定计算机。
密码管理
为保证管理信息系统安全,系统密码的长度至少为6位,复杂度为数字与字母的组合;所有用户首次登录系统必须更改初始密码,使用中要定期更改密码,新密码不得与历史密码相同;登录时,密码多次输入错误应锁定该用户账号。
操作系统、数据库、应用系统的初始密码必须在系统投用前修改,系统管理员和应用系统管理员必须定期更改密码。
如果密码长度、密码复杂度、密码定期修改、密码多次输错锁定等要求不能在应用系统中强制控制实现,各单位信息部门负责人、应