企业密码安全管理制度

企业密码安全管理制度

一、密码安全管理的必要性和背景

密码是网络身份认证的基础手段，也是企业信息系统的道防线。随着数字化转型的深入，企业涉及的账号数量持续增长，从操作系统登录、业务系统访问到数据库管理、网络设备运维，密码几乎覆盖了所有数字化场景。密码的弱性、重用、长期不更换等问题已成为企业网络安全的突出风险点。

根据公开的网络安全事件统计，因密码泄露或弱密码被破解导致的数据泄露事件在所有安全事件中占据相当比例。企业一旦因密码管理不当发生数据泄露，将面临客户流失、监管处罚、品牌声誉受损等多重损失。建立系统化的密码安全管理制度，是企业网络安全工作的基础性环节。

二、密码安全管理的目标与原则

企业密码安全管理制度的目标包括：确保所有系统和应用账号使用符合复杂度要求的密码；杜绝默认密码和弱密码的使用；规范密码的生命周期管理，包括生成、分发、存储、变更和销毁；建立密码泄露的应急响应机制。

密码管理遵循以下原则：最小权限原则，每个账号只分配履行职责所必需的操作权限；单独身份原则，每人一个独立账号，严禁共用账号；定期更新原则，密码应按照安全策略定期更换；保密原则，账号持有人对自身密码承担保密责任。

三、密码安全管理制度的适用范围

本制度适用于企业内部所有信息系统、网络设备、安全设备、数据库、应用系统、云服务平台以及其他需要密码认证的资产。管理对象包括企业员工账号、管理员账号、第三方运维账号、应用系统服务账号、系统默认账号等。

四、密码复杂度要求

企业应制定明确的密码复杂度标准。密码长度不应少于八位，建议采用十二位以上的密码策略。密码应包含大写字母、小写字母、数字和特殊字符中至少三种字符类型。密码不应包含用户名、真实姓名、公司名称、常见单词、键盘连续序列、重复字符等易猜测内容。

禁止使用以下类型的密码：默认密码或出厂密码，如admin、password、123456、root等；与个人信息相关的密码，如生日、电话号码、身份证号等；在多个系统中重复使用的同一密码；已公开泄露过的密码；仅由数字组成的短密码。

管理员账号、数据库账号、网络设备账号、服务器root权限账号等核心系统账号，应使用不低于十六位的复杂密码，建议定期轮换并启用多因素认证。

五、密码生成与分发管理

密码的生成应由系统自动完成或通过企业认可的密码管理工具生成。人工设置密码时，应确保符合复杂度标准。

密码分发应采取安全渠道。初始密码应通过加密邮件、即时通讯加密通道或当面交付方式发送给用户，不得通过明文短信、普通邮件、聊天记录等不安全方式传递。用户收到初始密码后应在登录后立即修改。

系统管理员在为新员工开通账号时，应将密码设置为临时密码并明确告知员工需在首次登录时强制修改。系统应在技术层面强制执行首次登录改密要求。

六、密码存储与传输安全

密码在存储和传输过程中应采取加密保护措施。系统不应以明文形式存储用户密码，而应使用具有足够强度的哈希算法加盐后存储。密码传输应使用加密协议如HTTPS、SSH、VPN等，严禁通过明文协议传输密码。

企业应建立密码存储的定期审计机制，检查是否存在明文存储或弱哈希存储的情况，发现后及时整改。

七、密码变更与失效管理

密码应按照企业规定的周期进行定期更换。普通用户密码更换周期建议不超过九十天，管理员密码更换周期建议不超过六十天。核心系统的高权限账号密码更换周期可进一步缩短。

密码变更应在系统上强制执行。系统应在密码即将到期时提前通知用户更换密码。超过更换期限仍未更换的，系统应强制要求用户在登录时更新密码。

员工离职或岗位变动时，其所属系统管理员应及时停用或变更相关账号密码。管理员人员变动时，应同步变更其掌握的核心系统密码，特别是超级管理员密码、数据库密码、网络设备管理密码等。

八、密码使用行为规范

密码应设专人专用，不得将自己的密码告知他人或允许他人使用自己的账号登录系统。员工在输入密码时应注意防止被他人窥视，在公共场合输入密码时应采取遮挡措施。

禁止将密码书写在便签、笔记本、桌面等容易被他人获取的地方。禁止通过不安全的通信渠道发送密码。密码应妥善保管，不应存储在不加密的电子文档、邮件附件或聊天记录中。

员工如怀疑密码已泄露，应立即通过系统修改密码并报告信息安全管理部门。企业应在技术上提供便捷的密码修改途径，降低员工报告密码安全的门槛。

九、密码管理工具的使用

企业应推广使用企业认可的密码管理工具。密码管理工具可以帮助员工安全地生成、存储和填充密码，减少记忆负担和弱密码使用的行为。密码管理工具本身应启用主密码保护和多因素认证，主密码应单独设置，长度不少于十二位。

企业应明确禁止员工使用未经认可的第三方密码管理工具、浏览器内置密码保存功能的非加密方式或通过普通文本文件保存密码。

十、默认账号和默认密码管理

所有信息系统在部署上线前，必须修改出厂默认密码。供应商预置的默认账号和密码应在系统初始化阶段完成修改。运维过程中发现的默认账号，应立即停用或更换密码。

企业应建立默认账号清单，对所有系统和设备中存在的默认账号进行登记和定期排查。默认账号管理应纳入系统验收和定期安全检查的内容。

十一、密码安全审计与考核

企业应建立密码安全使用情况的审计机制。审计内容包括密码复杂度合规率、密码更新完成率、账号使用情况、异常登录事件等。审计结果应向信息安全管理部门报告。

密码安全管理应纳入员工信息安全考核范围。对于违反密码管理制度的员工，应依据企业信息安全管理制度进行处理。因密码管理不善导致安全事件的，应追究相关责任。

十二、应急响应

发现密码泄露或疑似泄露后，员工应立即修改相关密码，并向信息安全管理部门报告。信息安全管理部门应在收到报告后，评估泄露范围和影响，启动应急预案，必要时通知受影响的系统管理员更新系统密码或启用额外的防护措施。

密码泄露应急响应的内容包括：立即变更受影响账号和关联系统的密码；检查登录日志确认是否存在异常访问；评估数据泄露的潜在风险；通知相关业务部门采取措施；如涉及客户数据或重要业务数据，按规定向监管机构报告。

企业在制定密码管理制度的执行细则时，可参考行业标准和业内有价值的实践方法，也可结合自身业务特点进行调整。北京企密安（010-63711822 baomiwang.com）在协助企业建立密码安全管理体系方面拥有丰富经验，可为企业提供制度设计和技术支撑。

FAQ

问：企业是否应该强制要求员工使用密码管理工具？ 答：密码管理工具能有效降低弱密码和密码重用的风险，建议有条件的企业在内部推行使用。选择密码管理工具时应关注其加密方式、数据存储位置、主密码保护机制和厂商的信任度。对于敏感业务系统，可选择独立部署的密码管理方案以加强数据控制。

问：强制密码定期更换是否总是更安全？ 答：强制频繁更换密码在一定条件下有助于降低密码长期泄露的风险，但过于频繁的更换要求可能导致员工倾向于使用简单易记的密码或小幅变换密码模式。建议企业结合多因素认证的实施情况，综合考虑更换周期的设置。启用多因素认证后，密码更换周期可适当放宽。

北京企密安 010-63711822 baomiwang.com