网络密码安全的

网络密码安全的一、总体要求（一）目标明确。网络密码安全是维护国家安全、保障社会稳定、促进信息化发展的重要基础，必须坚持安全第一、预防为主、综合治理的原则，全面提升密码管理水平。（二）责任落实。各级政府部门、企事业单位和关键信息基础设施运营者应当明确密码安全责任，建立健全密码安全管理制度，落实密码安全防护措施。二、密码管理责任体系（一）权责划定。各单位主要负责人是第一责任人，分管负责人是直接责任人，密码管理部门负责人是具体责任人，全员参与是基础保障。（二）制度完善。应当制定密码安全管理制度，明确密码分类分级标准、生成使用规范、存储传输要求、废弃处置流程等，确保制度覆盖所有密码应用场景。（三）组织保障。设立密码管理专门机构或指定专人负责，配备必要的技术装备和人力资源，定期开展密码安全培训，提升全员密码安全意识和技能。三、密码生成使用管理（一）分类分级。根据密码应用场景和重要程度，将密码分为核心密码、普通密码和商用密码三个等级，不同等级密码采取不同的生成使用管理措施。1.核心密码管理。核心密码用于国家秘密信息系统的核心业务，必须采用国家密码管理机构批准的密码算法和设备，禁止使用商用密码或自行研制密码。2.普通密码管理。普通密码用于非国家秘密信息系统的业务应用，应当采用国家密码管理机构推荐的密码算法和设备，确保密码强度符合相关标准。3.商用密码管理。商用密码用于一般性信息系统的业务应用，可以采用符合国家密码管理机构认证的商用密码产品，但必须满足密码安全基本要求。（二）生成管理。密码生成应当遵循随机性、不可预测性、高强度的原则，核心密码必须使用国家密码管理机构批准的密码生成设备，普通密码和商用密码应当采用符合国家标准的密码生成工具。1.生成流程。密码生成应当经过申请、审批、生成、标识、分发等环节，每个环节必须有明确的责任人和操作记录。2.生成规范。密码长度应当符合相关标准要求，核心密码不得少于32位，普通密码不得少于16位，商用密码不得少于12位。3.生成测试。新研制的密码生成设备必须经过国家密码管理机构测试认证，现有密码生成设备每年至少进行一次安全测试。（三）使用管理。密码使用应当遵循最小权限、定期更换、严格审批的原则，核心密码使用必须经过授权，普通密码和商用密码应当定期更换。1.使用控制。密码使用应当通过密码安全设备或系统进行，禁止使用明文传输或存储密码，禁止将密码告知他人或委托他人使用。2.更换周期。核心密码每半年更换一次，普通密码每年更换一次，商用密码每两年更换一次，重要系统密码应当根据风险评估结果缩短更换周期。3.使用记录。所有密码使用操作必须记录在案，包括使用时间、使用人、使用设备、使用目的等信息，记录保存期限不得少于三年。四、密码存储传输管理（一）存储管理。密码存储应当遵循加密存储、访问控制、安全审计的原则，核心密码必须采用专用存储设备，普通密码和商用密码应当采用符合国家标准的加密存储方案。1.存储设备。核心密码存储设备必须经过国家密码管理机构认证，普通密码和商用密码存储设备应当采用商用密码产品，并设置必要的访问控制措施。2.存储安全。密码存储设备应当放置在安全的环境中，设置物理防护措施，禁止非授权人员接触，定期进行安全检查。3.存储备份。密码存储设备应当定期进行备份，备份存储在异地安全的环境中，备份介质必须加密处理，并设置严格的访问控制措施。（二）传输管理。密码传输应当遵循加密传输、安全审计、完整性校验的原则，核心密码传输必须采用专用传输通道，普通密码和商用密码应当采用符合国家标准的加密传输方案。1.传输通道。核心密码传输必须采用国家密码管理机构批准的专用传输通道，普通密码和商用密码传输可以采用商用加密通道，但必须满足安全要求。2.传输加密。密码传输必须采用加密措施，确保传输过程中的密码不被窃取或篡改，加密算法和密钥管理必须符合国家标准。3.完整性校验。密码传输必须进行完整性校验，确保传输过程中的密码不被篡改，校验方法应当采用国家密码管理机构批准的方法。五、密码废弃处置管理（一）废弃处置。密码废弃应当遵循安全删除、不可恢复的原则，核心密码必须采用专用销毁设备，普通密码和商用密码应当采用符合国家标准的销毁方案。1.安全删除。密码存储设备废弃前必须进行安全删除，确保密码信息不可恢复，删除过程应当记录在案。2.物理销毁。核心密码存储设备应当进行物理销毁，普通密码和商用密码存储设备可以采用专业机构提供的销毁服务。3.处置记录。密码废弃处置必须记录在案，包括废弃时间、废弃方式、处置人员、处置设备等信息，记录保存期限不得少于五年。（二）责任追究。密码废弃处置不当造成泄密的，应当追究相关责任人的责任，情节严重的依法给予行政处分，构成犯罪的依法追究刑事责任。六、密码安全监测评估（一）监测预警。建立密码安全监测预警机制，对密码生成使用存储传输过程中的异常行为进行实时监测，发现异常情况及时预警。1.监测系统。部署密码安全监测系统，对密码生成使用存储传输过程中的关键环节进行监测，包括密码强度、密钥使用、设备状态等。2.预警机制。建立密码安全预警机制，对监测发现的异常情况及时发出预警，预警信息应当包括异常类型、发生时间、影响范围等信息。3.应急处置。制定密码安全应急预案，对预警信息及时处置，防止密码安全事件发生或扩大。（二）风险评估。定期开展密码安全风险评估，对密码安全状况进行全面评估，发现风险及时整改。1.评估内容。评估内容包括密码管理制度、技术措施、人员素质等方面，重点关注核心密码安全。2.评估方法。采用定性与定量相结合的方法进行评估，评估结果应当量化，并提出具体的整改建议。3.评估报告。评估结束后应当形成评估报告，报告内容包括评估情况、评估结果、整改建议等，报告报上级主管部门备案。七、密码安全技术保障（一）密码设备。采用符合国家标准的密码设备，核心密码使用专用密码设备，普通密码和商用密码使用商用密码产品，所有密码设备必须经过国家密码管理机构认证。1.设备选型。密码设备选型应当遵循安全可靠、性能稳定、兼容性好的原则，优先选用国家密码管理机构推荐的设备。2.设备管理。密码设备应当建立台账，定期进行维护保养，确保设备正常运行，设备报废应当符合国家规定。3.设备检测。密码设备每年至少进行一次安全检测，检测内容包括设备功能、性能、安全性等，检测结果应当记录在案。（二）密码系统。采用符合国家标准的密码系统，核心密码使用专用密码系统，普通密码和商用密码使用商用密码系统，所有密码系统必须经过国家密码管理机构认证。1.系统设计。密码系统设计应当遵循安全可靠、易于管理、可扩展性强的原则，系统架构应当符合国家密码管理机构的要求。2.系统测试。密码系统部署前必须进行安全测试，测试内容包括系统功能、性能、安全性等，测试结果应当符合国家标准。3.系统维护。密码系统应当定期进行维护，包括系统升级、补丁安装、安全检查等，确保系统安全可靠运行。八、密码安全宣传教育（一）培训内容。密码安全培训内容包括密码安全法律法规、密码安全管理制度、密码安全操作技能等，重点培训密码管理人员的专业技能。1.培训对象。所有密码管理人员必须接受密码安全培训，新入职人员必须进行岗前培训。2.培训方式。采用集中培训、在线培训、现场培训等多种方式，提高培训效果。3.培训考核。培训结束后应当进行考核，考核合格人员才能上岗，考核不合格人员应当重新培训。（二）宣传教育。通过多种渠道开展密码安全宣传教育，提高全员密码安全意识。1.宣传渠道。利用网站、微信公众号、宣传栏等多种渠道开展密码安全宣传教育，扩大宣传覆盖面。2.宣传内容。宣传密码安全法律法规、密码安全管理制度、密码安全操作技能等，提高全员密码安全意识