IT帐户创建、保留和到期标准
概述
本文件阐述了大学账户的要求,以确保符合大学政策. 管理和访问大学系统和数据,并代表大学开展业务, 个人必须拥有符合这一标准的大学账户.
政策参考
APM 30.15密码和认证策略
APM 30.10身份和访问管理策略
APM 30.11高校数据分类与标准
范围
这些标准建立了帐户管理, 供应, 以及对所有大学教员的保留要求, 工作人员, 学生, 和其他分支机构使用UI技术资源在任何数据分类级别.
标准
- 帐户类型-(参见下文第6节的定义)
- 所有个人帐户都需要多因素身份验证(MFA)
帐户提供包括为附属或赞助个人创建帐户.
- 配置:
- 学生账户是根据录取自动创建的, 注册和其他姐姐管理标准.
- 员工帐户不会自动创建, 但通常是在雇佣或员工角色变化时产生的.
- 在人事操作启动之前,不会创建员工帐户.
- 联系:
- 学生联系
- 独立学习
- 在当前或将来的任期内被承认的
- 有资格在未来学期注册(最多3个学期)
- 毕业于过去两年内
- 逾期注册的宽限期为学期开始后2周
- 员工关系
- 人力资源部的积极就业记录
- 人力资源部记录了9个月的教员聘任
- 其他关系
- 退休人员-荣誉员工或名誉教师
- 学生联系
- 密码(见 密码策略 和 密码的标准):
- 针对新员工, 人力资源将验证身份并收集识别信息,这些信息将用于人事设置过程中的帐户创建和密码设置过程.
- 新生将通过他们的入学申请过程来确定. 该过程将收集识别信息,这些信息将用于帐户创建和密码设置过程.
- 以便使用在线密码设置过程, 一个有效的备用电子邮件和/或电话号码必须在横幅系统.
- 想要访问大学资源的大学客人需要通过赞助或自动系统进行注册.
- 初始建立帐户时, 用户首次使用该帐户时必须修改密码.
- 所有的密码必须是唯一的,不能轻易被猜到.
- 账户名称:
- 可以从2-20个字符的长度
- 必须全小写
- 必须以字母字符开头吗
- 必须只包含字母数字ASCII字符
- 不能重复使用,不允许新的所有者
- 个人帐户, 用户名必须基于所有者的全名,以便在不能显示所有权的系统中更容易识别
- 学生用户名有以下约定:
- 第一部分是他们的姓、名或名字的组合中的1-4个字符
- 第二部分是他们汪达尔号码的最后4个数字
- 帐户已被禁用或删除, 需要重新启动, 默认情况下将使用之前的帐户名称, 除非访问权限发生重大变化或有其他减轻罪责的情况. (见角色转变- D-4节)
- 电子邮件地址限制:
- Primary 电子邮件 address prefix must match the username (example: jv和al => jv和al@rnveurope.com)
- Firstname.过去允许使用姓氏电子邮件别名(代理地址),但现在不再提供. 它们仍然被记录和保存
- Email地址必须与AD的userPrincipalName匹配,方便终端用户认证
- 当一个帐户被重命名时(由于个人姓名的改变),以前的电子邮件地址被无限期地保留为别名(proxyAddress)
- 显示名称:
- 地址簿必须显示姓名为“最后,第一个(电子邮件)”-例如“汪达尔,乔(jv和al@uidaho).在可能的情况下
- 默认情况下,活动目录中的显示名称将反映合法名称, 但是,名字部分可以根据请求(例如)更新为使用首选名称.g.,“史密斯,罗伯特”可以更新为“史密斯,鲍勃”或“史密斯,罗伯塔”或“史密斯,R”.”),只要与用户的身份相符即可
- 目前并非所有系统都支持使用活动目录显示名称,可能仍然反映来自横幅的合法名称
- 大学保留拒绝一个首选名称的权利. Instances that may result in this prohibition include arbitrary or repeated name changes; the use of profane words; names that may be used for fraudulent purposes or misrepresentation
- 账户重命名:
- 如果横幅中有关联的名称更改,则可以根据请求重新命名帐户
- 如果标准命名约定在英语或其他语言中创建了令人反感的单词,则可以根据要求重新命名帐户
- 审计:
- 必须记录帐户的创建、更新和删除,并监视异常活动
- 帐户的密码更改必须记录并审计异常情况
- 账户审核:
- 数据管理员和/或系统所有者必须每年审查帐户的访问权限
- 身份审查:
- 账户信息, 除了密码, 是否只提供给已核实身份的帐户拥有人. 交付方式包括:
- 发送电子邮件至先前确认的备用电子邮件地址, 包括在录取或就业申请中提供的一个
- 邮寄至先前确认的邮寄地址, 包括在录取或就业申请中提供的一个, 或者在政府签发的带照片的身份证上找到
- 本人,核实V和alCard或国家或政府颁发的带照片的身份证后
- 帐户密码只能由帐户所有者通过ITS工具(例如.g., 帮助.rnveurope.com 密码重置),从未通过邮件或电子邮件发送,即使有经过验证的身份. 技术支持人员应协助用户设置密码
- 有限使用的访客帐户可能会有密码发送到该帐户发起人的U of I电子邮件地址, 由于用户身份无法合理验证
- 视频验证是允许的,如果质量足以验证照片身份证
- 只有在客户还没有建立安全配置文件的情况下,才允许使用客户提供的三点信息进行音频或电话验证. 可能的数据点,除了全名:
- 电话号码
- Duo Push验证
- 电子邮件地址
- 学生或破坏者的身份证号
- 上次设置密码的时间
- 以前的工作职位和日期
- 以前的入学日期(开始、结束或最近一个学期)
- 邮寄地址
- 账户信息, 除了密码, 是否只提供给已核实身份的帐户拥有人. 交付方式包括:
- 联系:
- 当与大学的关系发生变化时, 账户将根据具体的账户类型和隶属关系被删除/保留
- 禁用:
- 不活跃的帐户将被禁用并随后删除, 180天不活动之后, 不管当前的个人归属. 对于已知正在休长假或公休的个人,可以给予例外
- 非任命的教师和研究生助理也可以例外. 这些期限将再延长120天
- 被安排行政休假的员工将禁用其主要账户和安全问题,除非总法律顾问另行安排和批准
- 与大学的关系已经结束
- 违反大学政策
- 删除帐户:
- 帐户在禁用4周后自动删除, 除非与正在进行的关联或手动步骤相关联,以延长对禁用帐户的赞助
- 虽然有些系统支持在删除后数天内恢复已删除的帐户, ITS不能保证这将永远是可能的
- 角色的变化:
- 当员工更改为新角色时,帐户名称将更改, 除非新角色所需的访问权限没有重大变化
- 如果外聘和入职部门商定的角色类型没有重大变化, 该帐户可以保留. (例如:在同一个主管手下,或者在同一个领域升职.)
- 需要新帐户名的角色更改:
- 根据员工福利计划离开具有HIPAA访问权限的角色,而新角色没有
- 与外部各方相关联的大学角色, 失去联系可能会对业务或法规遵从性产生重大影响(主要供应商, 学生资助, 体育运动)
- 如果离职主管要求的话
- 当用户处于管理休假状态时, 可以使用新名称创建帐户,以允许访问基本服务和进行所需的通信
- 荣誉员工退休人员可根据FSH 3730选择保留大学帐户, 但在默认情况下,这些不会被维护. 退休人员可以申请一个新的@gold.uidaho.如果他们没有保留另一个UI帐户,则可以使用edu帐户来满足任何正在进行的访问需求.g., @校友). 任何维持现有帐户的要求必须得到受影响部门和ITS的批准
- 荣誉毕业生可以根据FSH 1565选择维持大学账户, 但默认情况下不会创建. Emeriti可以保留他们的@uidaho.Edu邮箱地址
- 当员工更改为新角色时,帐户名称将更改, 除非新角色所需的访问权限没有重大变化
- 赞助的账户:
- 全职, 如果有文件证明和合法的工作或学术原因赞助帐户,符合条件的UI员工可以为其他无关联的个人赞助帐户. 赞助只能在没有其他期望的情况下使用
- 当就业记录或入学记录不可用时,需要提供赞助帐户
- 赞助帐户不发行时,个人帐户可以发行
- 赞助帐户不适用于尚未在系统上被任命的新员工
- 如果帐户所有者成为大学的雇员,帐户的赞助将自动取消
- 赞助所需的信息
- 符合条件的赞助商的恶意号码或用户界面用户名
- 工作电话
- 被保荐人的号码或全名, address, 出生日期, 备用电子邮件, 和手机号码,这样就可以创建一个汪达尔号码
- 赞助理由
- 赞助期限
- 赞助帐户最多在一年内到期
- 赞助商可以在任何时候更新/修改赞助账户
- 临时账户
- 当个人帐户访问方法可用时,不会创建或分配吗
- 客人账户可以根据与大学的临时关系而发放
- 赞助部门人员负责跟踪哪个客人的账户分配给了哪个人
- 在以下情况下,临时帐户将被禁用:
- 访客帐户最多可使用90天
其他参考资料
NIST sp800 - 171 (2016年1月)
NIST SP800-53r4 (2013年4月)
CIS Controls version 7
定义
特权帐户
用于提高对系统或数据的访问权限的个人帐户, 其中可能包括对访问权限进行更改的权限, 角色, 安全配置, 或其他用户的非公开数据. (APM 30.10)
个人帐户
分配给单个个人的主要帐户,用于访问技术资源, 包括交互式登录到计算机, 电子邮件, VPN, 横幅, 或其他UI资源. (APM 30.10)
功能的账户
由应用程序和进程使用,而不是由最终用户交互使用的帐户. (APM 30.10)
共享账户
多个用户知道密码或以其他方式使用该帐户进行交互式登录时使用或共享的帐户. (APM 30.10).
姐姐
学生资讯系统. (i.e. 横幅)
远程访问
访问通过外部网络(Internet)通信的信息系统.
本地访问
直接访问信息系统,而不是通过网络.
多因素身份验证
两个或多个因素来实现身份验证, including something you know (password); something you have (cryptographic device, hardware or software token); or something you are (biometric).
安全功能
信息系统的硬件和软件,负责执行系统安全控制或策略,并支持代码和数据的隔离.
如需进一步说明,请参阅 APM or NIST sp800 - 171.
标准的主人
UI信息技术服务(ITS)负责这些标准的内容和管理.
版本 | 作者(年代) | 日期 | 笔记 |
---|---|---|---|
V1 | M. 公园,米. 乔治 | 6/19/19 | 标准文件原件 |
V1.1 | M. 公园、维. 艾瓦特 | 6/23/20 | 明确荣誉员工账户生命周期 |
V1.2 | M. 公园、维. 艾瓦特 | 8/3/22 | 扩大毕业生的学生关系 |