密码控制管理制度.docx

密码控制管理制度文件编号:目的和范围为确保安全成为所开发的信息系统一个有机组成部分，保证开发过程安全，特制定本制度。适用于本公司所有信息系统的开发活动，信息系统内在安全性的管理。本制度作为软件开发项目管理规定的补充，而不是作为软件开发项目管理的整体规范。1.引用文件1）下列文件中的条款通过本规定的引用而成为本规定的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励各部门研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。2） GB/T22080-2016/IS0/IEC27001:2013信息技术-安全技术信息安全管理体系要求3） GB/T22081-2016/ISO/IEC27002:2013信息技术安全技术信息安全管理实施细则2 .职责和权限开发部门：确保适当和有效地使用密码技术以保护信息的保密性、真实性和（或）完整性。3 .密码控制3.1. 使用密码控制的策略1）控制描述应开发和实施使用密码控制措施来保护信息的策略。2）实施指南制定密码策略时，应考虑下列（但不仅限于）内容： 组织间使用密码控制的管理方法，包括保护业务信息的一般原则； 使用加密技术保护通过可移动介质、设备或者通过通信线路传输的敏感信息； 基于风险评估，应确定需要的保护级别，并考虑需要的加密算法的类型、强度和质量; 加密可能带来不利影响。由于某些控制措施依赖于内容检查（例如病毒检测等），要求数据处于未加密状态。3）用户口令管理a.初始密码在创建用户时设定，初次登录时操作系统或者管理员必须强制修改密码，不能使用缺省设置的密码。b.用户忘记口令时，管理员必须在对该用户进行适当的身份识别后才能向其提供临时口令。c.在向用户提供临时口令时，必须采用加密或其他安全传输途径，以确保初始密码不会被中途截取。d.不允许在计算机系统上以无保护的形式存储口令。e.对于泄漏口令造成的损失，由用户本人负责。f.不准与其他人互相借用各类工作账号。g.测试环境的账号与生产环境的账号使用不同的口令。4） 口令的使用a.用户应保证口令安全，不得向其他任何人泄漏。b.应避免在纸上记录口令，或以明文方式记录计算机内。c. 一旦有迹象表明系统或口令可能遭到破坏时，应立即更改口令。d. 口令的选择应参考以下规则： 最少要有8个字符，且为数字和字母组合。 密码不可包含用户帐号名称的全部或部分文字。 不要使用别人可以通过个人相关信息（如姓名、电话号码、生日等）容易猜出或破解的口令。 不要连续使用同一字符，不要全部使用数字，也不要全部使用字母，不要用英文单词或重要记念日。e.系统用户至少每季度更改一次口令，避免再次使用旧口令或半年内循环使用旧口令。f.检查重要服务器的系统口令是否定期进行更改。g.首次登录时应更改临时口令。h.不要在任何自动登录程序中使用口令，如在宏或功能键中存储。1 .不要共享个人用户口令。3.2. 密钥管理1）控制描述应有密钥管理以支持组织使用密码技术。2）实施指南应保护所有的密码密钥免遭修改、丢失和毁坏。另外，密码和私有密钥需要防范非授权的泄露。用来生成、存储和归档密钥的设备应进行物理保护。对于一些部门所使用的USBKEY密钥必须做到专人保管、专人使用，不用时必须放置在保险柜内或带锁的铁柜中妥善保管。软件密钥或证书须专人管理分发。3.3. 敏感数据加密1）控制描述组织就对敏感数据制定传输全程加密和保存进行加密制度，对敏感字段也要进行加密保存2）实施指南应保护所有敏感数据免遭修改、丢失、泄漏。对敏感数据内的敏感字段须加密保存。传输过程是要求全程不落地传输。在程序自动执行传输过程中，组织应定义对敏感数据进行全程加密和不落地传输的方案，并加以执行。本制度相关修改及解释权属于研发服务体系文档编号（由总裁办填写）密级内部公开文档发布级别公司级文档发布及实行范围全员制度试行日期（可选）制度执行日期文档起草人签字：文档修订人：签字：修订说明：备注：文档负责人：签字：文档审批信息安全管理者代表签字：文档审批人签字：