企业密码使用与管理规范（含多因素认证要求）

企业密码使用与管理规范（含多因素认证要求）第一章总则第一条制定目的为全面规范企业各类业务系统、办公设备、网络账号、运维后台及涉密工作载体的密码全生命周期管理工作，夯实企业网络与信息安全防护基础，防范因密码弱口令、密码泄露、密码滥用、账号盗用、越权登录等安全风险引发的数据泄露、业务瘫痪、信息篡改、合规违规等安全事件，保障企业核心经营数据、客户敏感信息、财务账务数据、生产运营资料及内部涉密文件的完整性、保密性、可用性，依据《中华人民共和国密码法》《商用密码管理条例》及国家网络安全等级保护相关标准要求，结合企业经营管理架构、业务运营模式及信息化建设实际情况，特制定本规范。第二条适用范围本规范为企业全员通用基础性安全管理制度，适用对象涵盖企业全体在职员工、试用期人员、劳务派遣人员、外包合作人员、临时驻场工作人员、外部运维服务商及所有拥有企业各类系统账号、设备操作权限、后台运维权限的相关人员。适用场景覆盖企业内部办公电脑、移动办公终端、服务器集群、网络交换机、防火墙、VPN远程接入通道、OA办公系统、财务核算系统、客户管理系统、生产业务管理平台、人力资源管理系统、涉密文档存储系统、企业邮箱、线上会议平台及各类自研与外购信息化业务应用的登录密码、运维管理密码、数据库访问密码、设备后台管理密码、加密密钥等所有身份认证及数据防护相关密码凭据。本规范所有条款均为强制性执行条款，所有相关人员必须严格遵照执行，无特殊豁免权限。第三条核心管理原则企业密码管理严格遵循分级分类管控、最小权限匹配、全程安全可控、定期迭代更新、多强验证防护、责任到人追溯六大核心原则。坚持不同安全等级的系统与设备匹配对应强度的密码标准及认证方式，杜绝统一密码通用、弱口令长期使用、权限过度分配等问题；坚持密码生成、使用、存储、传输、更换、注销全流程闭环管理，全程留存操作日志可追溯核查；坚持普通账号基础密码防护与核心账号多因素认证强制绑定，双重筑牢身份安全防线；坚持谁使用、谁负责，谁管理、谁追责，明确各级人员密码管理主体责任，杜绝密码管理责任悬空、违规操作无人追责的情况。第四条归口管理职责企业信息技术管理部门为本规范的归口管理部门，主要负责本规范的修订更新、落地宣贯、日常监督、合规检查、违规处置、密码技术防护优化及多因素认证体系的搭建、部署、运维、升级管理工作；负责统筹制定不同层级密码的差异化管控标准，定期开展全员密码安全培训及风险排查，及时处置密码泄露、账号异常登录等安全突发情况。企业各部门负责人为本部门密码安全第一责任人，负责督促本部门全员严格遵守本规范各项要求，常态化自查本部门员工密码使用合规性及多因素认证启用落实情况。企业所有密码使用人员为个人账号及密码直接责任人，严格按照规范要求规范操作，妥善保管个人及岗位相关密码凭据，主动配合安全检查及整改工作。第二章密码分级分类管理标准第五条密码安全等级划分结合企业各类系统、设备及账号承载的业务重要程度、数据敏感级别及安全风险影响范围，将企业所有密码统一划分为一级核心密码、二级重要密码、三级普通密码三个安全等级，不同等级密码执行差异化的复杂度配置、更换周期、保管要求及认证防护标准，严禁跨等级降低密码安全管控标准。一级核心密码特指企业核心数据库超级管理员密码、服务器集群最高运维权限密码、财务核心资金结算系统登录及运维密码、涉密业务管理系统最高权限密码、企业网络防火墙及核心路由设备后台管理密码等，此类密码一旦泄露将直接引发重大数据泄露、资金安全风险及企业经营重大损失。二级重要密码特指各业务部门核心业务系统管理员密码、客户信息管理系统操作密码、远程VPN运维接入账号密码、企业高管办公专属账号密码、重要业务文档加密密码等，此类密码泄露会造成局部业务数据泄露及业务运营安全隐患。三级普通密码特指普通员工日常办公OA系统账号密码、企业普通邮箱登录密码、基础办公电脑开机密码、非核心业务查询账号密码等常规办公基础密码，主要保障日常基础办公操作安全。第六条密码基础复杂度统一规范所有等级企业密码均禁止设置简单易破解、关联性强、通用性高的弱口令，严禁使用123456、666666、888888、admin、password等通用默认密码，严禁使用个人姓名、手机号、身份证号、生日、入职日期、部门简称、企业名称缩写等个人及企业公开关联信息作为密码主体内容，严禁使用连续数字、重复字符、键盘顺序排列字符等简易组合密码。一级核心密码必须设置十六位及以上超长复杂度组合密码，需同时包含大写英文字母、小写英文字母、阿拉伯数字、特殊专用符号四类字符，四类字符无序交叉组合，无规律、无关联、无连续序列特征。二级重要密码必须设置十二位及以上组合密码，同步包含大写字母、小写字母、数字、特殊符号三类及以上字符组合，杜绝单一字符类型组合。三级普通密码必须设置八位及以上组合密码，至少包含大小写字母与数字两类及以上字符组合，保障基础破解防护能力。所有密码设置完成后，系统自动启用弱口令校验拦截机制，不符合复杂度标准的密码一律无法设置及生效。第七条密码定期轮换更新要求企业所有密码实行强制定期轮换更新制度，结合密码安全等级设定差异化更换周期，到期系统自动强制锁定账号，完成密码更新后方可正常登录使用，严禁逾期不更换、更换后复用历史旧密码。一级核心密码更换周期不得超过六十天，每次更换必须全新生成无关联新密码，禁止与历史十次以内使用过的密码重复或高度相似。二级重要密码更换周期不得超过九十天，禁止与历史八次以内旧密码循环复用。三级普通密码更换周期不得超过一百八十天，禁止与历史五次以内旧密码重复使用。所有人员在密码轮换更新时，不得仅简单修改密码末尾数字、单个字符微调，必须整体重构密码组合结构，确保新密码与旧密码无明显关联，切实达到密码轮换安全防护效果。第三章密码日常规范使用与保管要求第八条密码日常操作使用规范所有人员在输入各类账号密码进行系统登录、设备运维、业务操作时，必须在安全私密办公环境内操作，输入过程中主动遮挡键盘及输入界面，严防周边人员窥视、偷拍记录密码；严禁在公共场所、公共办公区域大屏投屏状态下、外部人员在场情况下进行密码输入操作。密码输入完成后，操作完毕必须及时退出系统账号、锁定办公终端及运维后台，严禁账号长期处于登录挂机状态、终端无人值守未锁屏状态，杜绝他人未经授权擅自操作账号。所有账号实行一人一号、专人专用原则，严禁个人账号转借、出租、转让给他人使用，严禁多人共用同一个系统账号、运维账号及设备密码，严禁为方便他人操作私自告知个人密码、共享密码凭据。工作岗位调整、岗位交接期间，严禁沿用原岗位人员旧密码，必须第一时间重置全新密码后方可接手相关工作。第九条密码安全存储与保管管控所有企业密码严禁以明文形式记录在纸质便签、办公桌面文档、手机备忘录、私人聊天软件、朋友圈、社交平台等不安全载体中，严禁通过微信、QQ、短信、邮件明文传输各类密码信息。企业统一部署专用企业级密码管理工具，所有人员必须将个人办公密码、岗位业务密码、运维管理密码统一录入专用密码管理工具加密存储，由信息技术管理部门统一管控密码存储安全，个人仅通过专属认证调取使用，杜绝私自线下留存密码。一级核心密码实行双人双锁保管、双人分管机制，分别由两名授权管理人员分开保管密码核心信息，单独一人无法完成密码解锁及登录操作，全程管控核心密码接触范围。所有人员严禁将密码告知非授权人员，严禁向外部合作单位、无关人员泄露企业任何等级密码信息，严禁私自携带核心密码存储载体外出、转借他人。第十条密码挂失与重置处置流程当出现密码遗忘、密码疑似泄露、账号登录异常、密码保管载体丢失等情况时，相关人员必须第一时间暂停相关账号使用，立即向本部门负责人及信息技术管理部门同步报备，严禁私自尝试破解密码、绕过认证登录系统。信息技术管理部门接到报备后，第一时间对相关账号进行临时冻结锁定，核查账号登录日志及操作记录，排查是否存在异常登录、违规操作等安全风险。风险排查处置完成后，由本人通过企业官方安全认证渠道提交密码重置申请，完成本人身份实名认证核验后，由系统自动生成高强度初始密码或由本人按照密码复杂度标准自行重置新密码，严禁他人代为重置核心及重要账号密码。密码重置完成后，使用人员需第一时间修改初始密码，同步更新企业密码管理工具内存储信息，留存密码重置操作记录备查。第四章多因素认证强制管理核心要求第十一条多因素认证适用范围界定多因素认证是在静态账号密码单一认证基础上，叠加第二种及以上独立身份验证因素的高强度安全认证机制，核心用于抵御密码泄露后账号被盗用、非法登录的安全风险，企业实行分级强制启用机制，精准覆盖高风险核心操作场景。一级核心对应的所有核心运维账号、核心财务系统账号、涉密业务系统账号、服务器及防火墙后台管理账号，必须强制启用最高等级多因素认证，无任何豁免权限；二级重要对应的业务系统管理员账号、远程VPN居家及外勤运维接入账号、客户敏感信息管理账号、高管专属办公账号，必须全员启用多因素认证；三级普通办公账号自愿申请启用多因素认证，信息技术管理部门主动提供认证配置技术支持。所有涉及外部网络远程访问企业内部系统、跨区域运维操作、核心数据导出及账务资金划转的操作，无论账号等级高低，均临时强制触发多因素认证校验，认证通过后方可执行相关操作。第十二条多因素认证类型及选用规范企业多因素认证统一采用合规安全、防护等级高、稳定性强的认证方式，主要涵盖时间同步动态令牌认证、企业专属手机安全APP动态验证码认证、硬件安全密钥认证、合规生物特征识别认证四类官方认证类型，严禁使用第三方非正规、无安全防护保障的认证工具。一级核心账号优先选用硬件安全密钥+动态APP验证码双重多因素认证组合，双重独立校验身份，提升核心账号防护等级；二级重要账号统一启用企业专属手机安全APP动态验证码多因素认证，每次登录及关键操作均需实时核验动态验证码，验证码单次有效、实时刷新、过期失效；生物特征识别认证仅可作为辅助认证方式，需提前留存合规生物信息，由信息技术管理部门加密存储，严禁单独作为核心账号认证依据。所有多因素认证凭据与静态密码相互独立，两类认证信息分开保管、分开核验，严禁将动态验证码接收设备、硬件密钥与密码存放在同一载体、同一位置，杜绝单一泄露导致双重认证全部失效。第十三条多因素认证开通、变更与注销管理符合多因素认证强制启用要求的账号，由信息技术管理部门统一批量开通多因素认证功能，组织相关人员完成认证设备绑定、信息核验及激活操作，未完成多因素认证绑定的账号一律禁止登录使用。员工岗位调整、账号权限变更、认证手机更换、硬件密钥损坏更换时，必须及时向信息技术管理部门提交多因素认证信息变更申请，完成身份核验后办理认证信息解绑、重新绑定手续，变更期间临时锁定账号核心操作权限，变更完成后方可恢复正常使用。员工离职、岗位注销、账号停用的，信息技术管理部门必须第一时间注销该账号对应的多因素认证绑定信息，清除相关认证留存数据，防止离职人员通过原有认证凭据非法登录企业系统。所有多因素认证开通、变更、注销操作均全程记录日志，留存归档备查，实现全流程可追溯管理。第十四条多因素认证日常使用安全管控所有人员妥善保管个人多因素认证接收手机、硬件安全密钥等认证载体，严禁转借他人使用、随意丢弃、私自拆解改装认证设备，严禁向他人泄露动态验证码、认证密钥口令等认证信息。接收动态验证码的手机必须设置开机密码及设备锁屏防护，防止手机丢失后他人窃取验证码完成认证登录；硬件安全密钥专人专管，使用完毕后妥善存放，严禁随意放置在公共办公区域。严禁点击非官方陌生链接、非正规弹窗获取认证验证码，严防钓鱼诈骗骗取多因素认证信息；如遇多因素认证收不到验证码、认证设备故障、认证异常报错等问题，严禁私自拆卸设备、绕过认证操作，必须立即联系信息技术管理部门技术人员排查处理。任何情况下，不得为他人代填多因素验证码、代完成认证操作，杜绝认证代办带来的账号安全风险。第五章账号离岗、离职及密码注销管理第十五条短期离岗账号密码管理所有工作人员工作期间临时离岗、短时外出、午休下班，必须第一时间锁定办公电脑、退出所有业务系统及运维账号登录状态，开启终端设备锁屏密码防护，严禁账号在线挂机、设备未锁屏无人看管。短期出差、休假超过三个工作日的，个人需提前检查所有账号密码安全状态，修改临时操作密码，关闭不必要的系统登录权限，同步告知部门工作对接人员应急工作对接方式，严禁休假期间账号长期无人管控，防范账号被违规冒用风险。信息技术管理部门定期排查离岗未锁屏、账号长期挂机等违规行为，及时提醒整改并记录备案。第十六条人员离职密码及账号注销流程企业员工办理离职、辞退、调岗离岗手续前，必须先行完成个人所有办公账号、业务系统账号、运维权限账号、设备管理账号的交接及密码注销重置工作，未完成密码及账号安全交接注销的，人力资源管理部门不得办理最终离职结算手续。离职人员需配合部门负责人及信息技术管理部门，交接所有岗位相关密码凭据、多因素认证设备及系统操作权限，由信息技术管理部门当场注销离职人员所有系统登录账号、删除密码存储记录、注销多因素认证绑定信息，永久冻结相关操作权限。严禁离职人员账号保留登录权限、密码长期有效，严禁离职后未注销账号仍可登录企业内部系统，彻底切断离职人员后续非法访问渠道。调岗人员需根据新岗位权限等级，重新调整密码安全等级及多因素认证配置，注销原岗位多余操作权限及相关密码凭据。第六章安全监督检查与违规责任追究第十七条常态化安全监督检查工作信息技术管理部门建立密码及多因素认证常态化监督检查机制，实行日常随机抽查、月度专项排查、年度全面核查三级检查模式，全程做好检查记录、问题台账及整改跟踪工作。日常随机抽查重点核查员工密码复杂度合规性、密码保管规范度、多因素认证启用落实情况及账号登录安全状态；月度专项排查重点整治弱口令复用、密码共享、多因素认证规避使用、账号长期未轮换密码等违规问题，对排查发现的安全隐患建立整改台账，明确整改责任人及整改期限，限期闭环整改；年度全面核查全面梳理企业所有等级密码管理情况、多因素认证体系运行效果，优化完善密码管理及认证防护策略，同步开展全员密码安全警示教育及规范培训，提升全员安全防护意识。第十八条安全风险应急处置机制当发生密码泄露、账号非法登录、多因素认证被破解、密码被盗用操作等安全突发事件时，信息技术管理部门立即启动网络安全应急处置预案，第一时间冻结涉事账号、封锁相关系统访问权限，快速排查安全风险源头、追溯违规操作记录，及时修改相关密码、强化多因素认证防护配置，防止风险扩散蔓延，避免造成更大安全损失。