05]（信息安全与隐私安全）口令控制策略.docVIP

第PAGE1页共NUMPAGES1页

（信息安全与隐私安全）口令控制策略

发布部门

信息安全与隐私安全小组

生效时间

2021年6月1日

批准人

总经理

文件编号

HYK-MS-233-S05-C-05

介绍

用户授权是控制信息资源访问者的一种方式。对访问进行控制是任何信息资源所必须的。未经授权的人员访问到信息资源可能会引起信息保密性、完整性共和可用性的丢失，导致收入、信誉的损失或经济困难。

目的

该策略的目的是为用户鉴别机制建立创造、分发、保护、终止以及收回的规则。

适用范围

该策略适用于任何信息资源的使用者。

术语定义

略

口令

控制

策略

所用用户都必须拥有唯一的、专供其个人使用的用户帐号ID（用户ID）；

所有用户不得使用他人的用户进行信息资源的访问；

所有口令，包括初始口令，都必须依据总经理办公室规定的下列规则建立和执行：

所有活动帐号都必须有口令保护；

必须定期更改口令；

口令输入时不应将口令的明文显示出来，应该采取掩盖措施；

必须符合软件部规定的最小长度；口令必须至少要含有6个字符，系统管理员口令至少要含有8个字符。

必须是字母、数字和字符的组合；

口令不能和用户名或登录名相同；

必须不能是可以轻易联想到的帐号所有者的特性：用户名、绰号、亲属的姓名、生日等；

必须不能用字典中的单词或首字母缩写；

必须保存历史口令，以防止口令的重复使用。

用户的帐号口令必须不能泄露给任何人；

如果怀疑口令的安全性，应立即进行更改；

管理员不能为了使用信息资源规避口令；

用户不能通过自动登录的方式绕过口令登录程序；

计算机设备如果无人值守必须启动口令保护屏保或注销；

用户在首次登录时必须更改口令。

惩罚

违背该策略可能导致：员工以及临时工被解雇、合同方或顾问的雇佣关系终止、实习人员和志愿者失去继续工作的机会、学生被开除；另外，这些人员还可能遭受信息资源访问权以及公民权的损失，甚至遭到法律起诉。

引用标准

略