ISO27001：2026賬號(hào)密碼控制程序

ISO27001：2026賬號(hào)密碼控制程序1.目的與范圍為規(guī)范組織信息系統(tǒng)賬號(hào)與密碼的管理，保障信息資產(chǎn)的機(jī)密性、完整性和可用性，防范未授權(quán)訪問(wèn)及信息泄露風(fēng)險(xiǎn)，特依據(jù)ISO/IEC____:2026信息安全管理體系標(biāo)準(zhǔn)要求，制定本程序。本程序適用于組織內(nèi)部所有員工、合作伙伴、訪客及其他授權(quán)用戶在使用組織各類(lèi)信息系統(tǒng)（包括但不限于操作系統(tǒng)、數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)等）時(shí)的賬號(hào)與密碼行為。同時(shí)，也涵蓋了為第三方提供的、與組織信息資產(chǎn)相關(guān)的賬號(hào)密碼管理。2.術(shù)語(yǔ)與定義*賬號(hào)：指用于標(biāo)識(shí)用戶身份并允許其訪問(wèn)特定信息系統(tǒng)或資源的字符串。*密碼：指用戶為證明其身份而輸入的、與賬號(hào)關(guān)聯(lián)的秘密字符串，是身份驗(yàn)證的重要手段之一。*多因素認(rèn)證：指結(jié)合兩種或兩種以上獨(dú)立的身份驗(yàn)證因素（如：你知道的信息、你擁有的物品、你本身的特征）進(jìn)行身份確認(rèn)的過(guò)程。*特權(quán)賬號(hào)：指擁有超出普通用戶權(quán)限，能夠?qū)ο到y(tǒng)配置、用戶數(shù)據(jù)或關(guān)鍵功能進(jìn)行修改和管理的賬號(hào)。3.賬號(hào)管理3.1賬號(hào)申請(qǐng)與開(kāi)通所有賬號(hào)的創(chuàng)建必須基于明確的業(yè)務(wù)需求，并遵循最小權(quán)限原則和職責(zé)分離原則。申請(qǐng)人需提交正式的賬號(hào)開(kāi)通申請(qǐng)，詳細(xì)說(shuō)明所需訪問(wèn)的系統(tǒng)/資源、申請(qǐng)理由及建議權(quán)限級(jí)別。申請(qǐng)需經(jīng)過(guò)其直接上級(jí)及相關(guān)系統(tǒng)管理員（或信息安全管理部門(mén)）的審批。審批通過(guò)后，由指定的系統(tǒng)管理員負(fù)責(zé)創(chuàng)建賬號(hào)，并記錄賬號(hào)創(chuàng)建信息，包括賬號(hào)名、所屬用戶、開(kāi)通日期、權(quán)限范圍及審批人等。3.2賬號(hào)命名規(guī)范賬號(hào)命名應(yīng)遵循統(tǒng)一、規(guī)范的規(guī)則，便于識(shí)別和管理。命名規(guī)則可考慮結(jié)合部門(mén)、姓名拼音縮寫(xiě)等元素，但需避免包含敏感信息。鼓勵(lì)使用不易猜測(cè)的命名方式，增強(qiáng)賬號(hào)本身的安全性。3.3賬號(hào)權(quán)限分配與review權(quán)限分配應(yīng)嚴(yán)格遵循最小權(quán)限原則，確保用戶僅獲得完成其工作職責(zé)所必需的最小權(quán)限。對(duì)于特權(quán)賬號(hào)，需進(jìn)行更嚴(yán)格的審批和控制，并明確其使用范圍和操作規(guī)范。組織應(yīng)定期（至少每季度）對(duì)所有賬號(hào)及其權(quán)限進(jìn)行審查，確保權(quán)限與當(dāng)前工作職責(zé)相符，及時(shí)發(fā)現(xiàn)并清理不再需要的權(quán)限或僵尸賬號(hào)。3.4賬號(hào)變更與禁用/注銷(xiāo)當(dāng)用戶崗位發(fā)生變動(dòng)或離職時(shí)，其賬號(hào)權(quán)限應(yīng)及時(shí)進(jìn)行相應(yīng)調(diào)整或注銷(xiāo)。賬號(hào)持有人或其部門(mén)負(fù)責(zé)人需提前提交賬號(hào)變更或注銷(xiāo)申請(qǐng)，經(jīng)審批后由系統(tǒng)管理員執(zhí)行。對(duì)于離職人員，賬號(hào)注銷(xiāo)應(yīng)與人力資源部門(mén)的離職流程同步完成，確保信息安全。如因特殊原因需臨時(shí)停用賬號(hào)，應(yīng)明確停用期限，并在到期后根據(jù)情況進(jìn)行啟用或注銷(xiāo)處理。3.5賬號(hào)鎖定與解鎖信息系統(tǒng)應(yīng)配置賬號(hào)鎖定機(jī)制。當(dāng)連續(xù)多次輸入錯(cuò)誤密碼（具體次數(shù)根據(jù)系統(tǒng)風(fēng)險(xiǎn)等級(jí)設(shè)定）后，賬號(hào)應(yīng)自動(dòng)臨時(shí)鎖定一段時(shí)間，或直至管理員手動(dòng)解鎖。賬號(hào)解鎖需經(jīng)過(guò)適當(dāng)?shù)纳矸蒡?yàn)證和審批流程。4.密碼管理4.1密碼復(fù)雜度要求用戶密碼應(yīng)具備足夠的復(fù)雜度，以抵抗猜測(cè)和暴力破解。具體要求包括：*密碼長(zhǎng)度應(yīng)不低于八位字符；*密碼應(yīng)包含大小寫(xiě)字母、數(shù)字及特殊符號(hào)中的至少三類(lèi)；*避免使用與賬號(hào)名相同或相似的密碼；*禁止使用常見(jiàn)的弱密碼，如“____”、“password”等；*避免使用容易被他人獲知的個(gè)人信息（如生日、姓名縮寫(xiě)等）作為密碼。4.2密碼更換與歷史用戶應(yīng)定期更換密碼，更換周期最長(zhǎng)不超過(guò)九十天。系統(tǒng)應(yīng)能阻止用戶使用最近幾次（如最近五次）使用過(guò)的密碼，防止密碼循環(huán)使用。4.3密碼存儲(chǔ)與傳輸安全密碼在系統(tǒng)中必須以加密或哈希（使用強(qiáng)哈希算法，并加入鹽值）的方式存儲(chǔ)，嚴(yán)禁明文存儲(chǔ)。密碼在網(wǎng)絡(luò)傳輸過(guò)程中也必須進(jìn)行加密，防止被竊聽(tīng)。4.4密碼使用規(guī)范用戶應(yīng)妥善保管個(gè)人賬號(hào)密碼，嚴(yán)禁將密碼告知他人或轉(zhuǎn)借賬號(hào)使用。禁止在公共場(chǎng)所（如共享電腦、公共網(wǎng)絡(luò)）保存或記錄密碼。用戶在登錄系統(tǒng)后，離開(kāi)工作崗位時(shí)應(yīng)鎖定屏幕或退出登錄。禁止使用未經(jīng)授權(quán)的程序或工具存儲(chǔ)、管理密碼，鼓勵(lì)使用組織認(rèn)可的安全密碼管理工具。4.5初始密碼與密碼重置系統(tǒng)管理員為用戶創(chuàng)建初始密碼時(shí)，應(yīng)確保初始密碼的隨機(jī)性和安全性，并通過(guò)安全方式（如當(dāng)面告知、加密郵件）交付給用戶。用戶首次登錄系統(tǒng)后，必須立即更改初始密碼。密碼重置流程應(yīng)進(jìn)行嚴(yán)格的身份驗(yàn)證，確保僅賬號(hào)持有人或授權(quán)管理員能夠發(fā)起和完成重置操作。5.多因素認(rèn)證機(jī)制對(duì)于重要信息系統(tǒng)、特權(quán)賬號(hào)訪問(wèn)以及遠(yuǎn)程訪問(wèn)等場(chǎng)景，應(yīng)強(qiáng)制啟用多因素認(rèn)證機(jī)制，以增強(qiáng)身份驗(yàn)證的安全性。選擇的第二因素應(yīng)具備不易被復(fù)制、竊取的特性。6.會(huì)話管理信息系統(tǒng)應(yīng)設(shè)置合理的會(huì)話超時(shí)時(shí)間。當(dāng)用戶在規(guī)定時(shí)間內(nèi)未進(jìn)行任何操作時(shí)，系統(tǒng)應(yīng)自動(dòng)鎖定會(huì)話或結(jié)束登錄狀態(tài)，防止未授權(quán)人員利用閑置會(huì)話進(jìn)行操作。7.審計(jì)與監(jiān)控組織應(yīng)建立賬號(hào)密碼相關(guān)操作的審計(jì)日志機(jī)制，記錄賬號(hào)的創(chuàng)建、刪除、權(quán)限變更、密碼修改、登錄成功與失敗等關(guān)鍵事件。審計(jì)日志應(yīng)妥善保存，保存期限不少于一年，并定期進(jìn)行審查，以便及時(shí)發(fā)現(xiàn)異常訪問(wèn)行為或安全事件。對(duì)于特權(quán)賬號(hào)的操作，應(yīng)進(jìn)行更詳細(xì)的日志記錄和重點(diǎn)監(jiān)控。8.安全意識(shí)培訓(xùn)組織應(yīng)定期對(duì)所有用戶進(jìn)行賬號(hào)密碼安全意識(shí)培訓(xùn)，使其了解本程序的要求、密碼安全的重要性以及常見(jiàn)的攻擊手段（如釣魚(yú)、社會(huì)工程學(xué)），提高用戶的安全防范意識(shí)和能力。9.違規(guī)處理與持續(xù)改進(jìn)對(duì)于違反本程序規(guī)定的行為，組織將根據(jù)情節(jié)嚴(yán)重程度及相關(guān)規(guī)定進(jìn)行處理。本程