厦门ISO27001认证信息安全体系认证办理咨询培训辅导顾问申请福州

ISMS：A.9.2 用户访问管理

A.9.2.1用户注册及注销

是否有正式的用户注册与注销程序，授权和撤销对所有信息系统和服务的访问？

公司建立了用户访问管理程序》；明确了用户注册、注销的相关要求。

邮件系统。

A.9.2.2用户访问开通

用户的分配是否有一个正式的管理过程进行控制？

公司建立了《用户访问管理程序》，由人力资源部提交流程，人力资源部开通邮箱账户。

A.9.2.3特权访问权限管理

是否限制和控制特殊权限的分配及使用？

已建立《用户访问管理程序》，已填写《用户访问授权申请表》；并在《用户访问授权登记表》上予以登记。

A.9.2.4用户鉴别管理

是否所有用户都有一个唯一的、仅供其个人使用的标识符（用户ID）？

是否选择了一种适当的鉴别技术来证实用户所宣称的身份？

公司建立了《口令控制策略》；明确了口令分配和管理的相关要求。

A.9.2.5用户访问权限复查

管理者是否使用一个正式过程，对用户的访问权进行复查？

《重要涉密电脑和设备日志明细表》查公司能够实施用户访问的复查。

A.9.2.6撤销或调整访问权限

所有雇员、承包方人员和第三方人员对信息和信息处理设施的访问权，是否在任用、合同或协议终止时，删除，或在变化时调整？

抽查2个离职人员，已撤销访问权限。

A.9.3.1涉密授权信息使用

是否要求用户在选择和使用密钥、口令等授权信息时，遵循良好的安全习惯？

已建立《口令控制策略》

ISMS：A.9.4系统和应用访问控制

A.9.4.1信息访问控制

用户对信息和应用系统功能的访问，是否依照已确定的访问控制策略进行限制？如秘密系统隔离。

《访问控制策略》 《业务信息系统使用策略》查用户访问权限申请。

A.9.4.2安全登录程序

访问操作系统是否通过安全登录规程加以控制？

邮件系统通过自带的管理终端予以操作，有用户名，口令的校验，能够满足系统访问的要求。

A.9.4.3 口令管理系统

口令管理系统是否交互式的并能够确保优质的口令？

（改：1、是否有口令管理系统，确保优质的口令：如能够强制选择优质的口令，强制口令变更等；）

查公司邮箱系统有口令管理功能。

A.9.4.4 特殊工具的使用

对于可能超越系统和应用程序控制措施的实用工具的使用，是否加以限制并严格控制？

邮件系统使用了360安全卫士监控系统安全，主要由系统管理员操作管理。

A.9.4.5 程序源代码的访问控制

是否限制访问程序源代码？

依据配置管理控制程序进行控制，用SVN进行代码管理，每个项目有配置管理计划，依据计划建设库。