信息安全管理密碼安全

信息安全管理密碼安全一、總體要求（一）標(biāo)準(zhǔn)規(guī)范。密碼安全必須嚴(yán)格執(zhí)行國(guó)家密碼管理局發(fā)布的相關(guān)標(biāo)準(zhǔn)，包括但不限于《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》《商用密碼應(yīng)用安全要求》等，確保密碼管理符合法律法規(guī)要求。1.密碼強(qiáng)度必須符合A級(jí)密碼強(qiáng)度標(biāo)準(zhǔn)，即長(zhǎng)度不少于16位，同時(shí)包含大寫(xiě)字母、小寫(xiě)字母、數(shù)字和特殊符號(hào)的組合。2.密碼變更周期不得超過(guò)90天，重要系統(tǒng)密碼變更周期應(yīng)縮短至30天。3.禁止使用生日、姓名拼音等易猜密碼，禁止使用連續(xù)或重復(fù)鍵盤(pán)順序的密碼組合。4.密碼存儲(chǔ)必須采用加密存儲(chǔ)方式，禁止明文存儲(chǔ)，必須使用SM2/SM3/SM4等商用密碼算法進(jìn)行加密。二、責(zé)任體系（二）職責(zé)劃分。各部門(mén)必須明確密碼安全責(zé)任人，建立"誰(shuí)主管誰(shuí)負(fù)責(zé)、誰(shuí)使用誰(shuí)負(fù)責(zé)"的責(zé)任體系。1.信息安全部門(mén)負(fù)責(zé)制定密碼管理制度，監(jiān)督密碼使用情況，定期開(kāi)展密碼安全檢查。2.系統(tǒng)管理部門(mén)負(fù)責(zé)密碼系統(tǒng)的建設(shè)與維護(hù)，確保密碼管理工具的正常運(yùn)行。3.應(yīng)用開(kāi)發(fā)部門(mén)負(fù)責(zé)開(kāi)發(fā)過(guò)程中密碼安全功能的實(shí)現(xiàn)，確保應(yīng)用系統(tǒng)具備密碼保護(hù)機(jī)制。4.運(yùn)維人員負(fù)責(zé)日常密碼使用管理，包括密碼生成、分發(fā)、變更等操作。三、密碼生成與存儲(chǔ)（三）生成規(guī)范。密碼生成必須遵循"隨機(jī)、復(fù)雜、不可預(yù)測(cè)"原則，禁止人工指定密碼。1.重要系統(tǒng)密碼必須使用商用密碼密碼機(jī)或密碼管理系統(tǒng)生成，禁止使用隨機(jī)數(shù)生成器。2.密碼生成必須包含至少4種字符類(lèi)型，生成后立即使用，禁止重復(fù)使用。3.密碼存儲(chǔ)必須采用"密鑰+數(shù)據(jù)"分離方式，密鑰必須分級(jí)存儲(chǔ)，禁止單一人員掌握全部密鑰。4.存儲(chǔ)介質(zhì)必須符合保密要求，紙質(zhì)介質(zhì)必須加密存儲(chǔ)，電子介質(zhì)必須設(shè)置訪問(wèn)權(quán)限。四、密碼使用管理（四）使用控制。密碼使用必須嚴(yán)格遵循最小權(quán)限原則，禁止越權(quán)使用。1.禁止使用同一密碼登錄多個(gè)系統(tǒng)，禁止將密碼告知他人或委托他人使用。2.禁止在公共場(chǎng)合輸入密碼，禁止通過(guò)即時(shí)通訊工具傳輸密碼。3.必須使用密碼管理工具進(jìn)行密碼操作，禁止使用記事本等非專(zhuān)用工具記錄密碼。4.密碼輸入必須使用專(zhuān)用鍵盤(pán)或虛擬鍵盤(pán)，禁止使用普通鍵盤(pán)輸入。五、密碼變更與廢棄（五）變更流程。密碼變更必須經(jīng)過(guò)嚴(yán)格審批，并做好變更記錄。1.密碼變更必須由原密碼持有人申請(qǐng)，經(jīng)部門(mén)負(fù)責(zé)人審批后方可執(zhí)行。2.密碼變更必須立即通知原密碼使用系統(tǒng)，并撤銷(xiāo)原密碼。3.密碼變更必須進(jìn)行變更記錄，記錄內(nèi)容包括變更時(shí)間、變更人、變更原因等。4.廢棄密碼必須立即從所有系統(tǒng)中清除，并做好廢棄記錄。六、應(yīng)急響應(yīng)機(jī)制（六）應(yīng)急措施。發(fā)生密碼泄露等安全事件時(shí)，必須立即啟動(dòng)應(yīng)急響應(yīng)機(jī)制。1.立即停止使用涉事密碼，并更換相關(guān)系統(tǒng)密碼。2.立即調(diào)查事件原因，并采取措施防止事件擴(kuò)大。3.立即向上級(jí)報(bào)告事件情況，并配合調(diào)查處理。4.事件處理完畢后必須進(jìn)行總結(jié)，并完善相關(guān)制度。七、監(jiān)督與檢查（七）監(jiān)督機(jī)制。必須建立常態(tài)化的密碼安全監(jiān)督機(jī)制，定期開(kāi)展檢查。1.信息安全部門(mén)每季度至少開(kāi)展一次密碼安全檢查，檢查內(nèi)容包括密碼管理制度落實(shí)情況、密碼使用情況等。2.系統(tǒng)管理部門(mén)每月至少開(kāi)展一次密碼系統(tǒng)運(yùn)行檢查，檢查內(nèi)容包括密碼系統(tǒng)功能、運(yùn)行狀態(tài)等。3.檢查結(jié)果必須形成報(bào)告，并報(bào)相關(guān)部門(mén)負(fù)責(zé)人簽字確認(rèn)。4.對(duì)檢查發(fā)現(xiàn)的問(wèn)題必須及時(shí)整改，并跟蹤整改效果。八、培訓(xùn)與宣傳（八）能力建設(shè)。必須定期開(kāi)展密碼安全培訓(xùn)，提高全員密碼安全意識(shí)。1.新員工入職必須接受密碼安全培訓(xùn)，考核合格后方可上崗。2.每年至少開(kāi)展一次全員密碼安全培訓(xùn)，培訓(xùn)內(nèi)容包括密碼安全制度、密碼使用規(guī)范等。3.必須定期開(kāi)展密碼安全意識(shí)測(cè)試，測(cè)試結(jié)果作為績(jī)效考核依據(jù)。4.必須在辦公區(qū)域設(shè)置密碼安全宣傳欄，定期更新宣傳內(nèi)容。九、附則密碼安全是信息安全的重要組成部分，必須嚴(yán)格