ISO27001：2026賬號密碼控制程序

ISO27001：2026賬號密碼控制程序1.目的與范圍為規范組織信息系統賬號與密碼的管理，保障信息資產的機密性、完整性和可用性，防范未授權訪問及信息泄露風險，特依據ISO/IEC____:2026信息安全管理體系標準要求，制定本程序。本程序適用于組織內部所有員工、合作伙伴、訪客及其他授權用戶在使用組織各類信息系統（包括但不限于操作系統、數據庫、網絡設備、業務應用系統等）時的賬號與密碼行為。同時，也涵蓋了為第三方提供的、與組織信息資產相關的賬號密碼管理。2.術語與定義*賬號：指用于標識用戶身份并允許其訪問特定信息系統或資源的字符串。*密碼：指用戶為證明其身份而輸入的、與賬號關聯的秘密字符串，是身份驗證的重要手段之一。*多因素認證：指結合兩種或兩種以上獨立的身份驗證因素（如：你知道的信息、你擁有的物品、你本身的特征）進行身份確認的過程。*特權賬號：指擁有超出普通用戶權限，能夠對系統配置、用戶數據或關鍵功能進行修改和管理的賬號。3.賬號管理3.1賬號申請與開通所有賬號的創建必須基于明確的業務需求，并遵循最小權限原則和職責分離原則。申請人需提交正式的賬號開通申請，詳細說明所需訪問的系統/資源、申請理由及建議權限級別。申請需經過其直接上級及相關系統管理員（或信息安全管理部門）的審批。審批通過后，由指定的系統管理員負責創建賬號，并記錄賬號創建信息，包括賬號名、所屬用戶、開通日期、權限范圍及審批人等。3.2賬號命名規范賬號命名應遵循統一、規范的規則，便于識別和管理。命名規則可考慮結合部門、姓名拼音縮寫等元素，但需避免包含敏感信息。鼓勵使用不易猜測的命名方式，增強賬號本身的安全性。3.3賬號權限分配與review權限分配應嚴格遵循最小權限原則，確保用戶僅獲得完成其工作職責所必需的最小權限。對于特權賬號，需進行更嚴格的審批和控制，并明確其使用范圍和操作規范。組織應定期（至少每季度）對所有賬號及其權限進行審查，確保權限與當前工作職責相符，及時發現并清理不再需要的權限或僵尸賬號。3.4賬號變更與禁用/注銷當用戶崗位發生變動或離職時，其賬號權限應及時進行相應調整或注銷。賬號持有人或其部門負責人需提前提交賬號變更或注銷申請，經審批后由系統管理員執行。對于離職人員，賬號注銷應與人力資源部門的離職流程同步完成，確保信息安全。如因特殊原因需臨時停用賬號，應明確停用期限，并在到期后根據情況進行啟用或注銷處理。3.5賬號鎖定與解鎖信息系統應配置賬號鎖定機制。當連續多次輸入錯誤密碼（具體次數根據系統風險等級設定）后，賬號應自動臨時鎖定一段時間，或直至管理員手動解鎖。賬號解鎖需經過適當的身份驗證和審批流程。4.密碼管理4.1密碼復雜度要求用戶密碼應具備足夠的復雜度，以抵抗猜測和暴力破解。具體要求包括：*密碼長度應不低于八位字符；*密碼應包含大小寫字母、數字及特殊符號中的至少三類；*避免使用與賬號名相同或相似的密碼；*禁止使用常見的弱密碼，如“____”、“password”等；*避免使用容易被他人獲知的個人信息（如生日、姓名縮寫等）作為密碼。4.2密碼更換與歷史用戶應定期更換密碼，更換周期最長不超過九十天。系統應能阻止用戶使用最近幾次（如最近五次）使用過的密碼，防止密碼循環使用。4.3密碼存儲與傳輸安全密碼在系統中必須以加密或哈希（使用強哈希算法，并加入鹽值）的方式存儲，嚴禁明文存儲。密碼在網絡傳輸過程中也必須進行加密，防止被竊聽。4.4密碼使用規范用戶應妥善保管個人賬號密碼，嚴禁將密碼告知他人或轉借賬號使用。禁止在公共場所（如共享電腦、公共網絡）保存或記錄密碼。用戶在登錄系統后，離開工作崗位時應鎖定屏幕或退出登錄。禁止使用未經授權的程序或工具存儲、管理密碼，鼓勵使用組織認可的安全密碼管理工具。4.5初始密碼與密碼重置系統管理員為用戶創建初始密碼時，應確保初始密碼的隨機性和安全性，并通過安全方式（如當面告知、加密郵件）交付給用戶。用戶首次登錄系統后，必須立即更改初始密碼。密碼重置流程應進行嚴格的身份驗證，確保僅賬號持有人或授權管理員能夠發起和完成重置操作。5.多因素認證機制對于重要信息系統、特權賬號訪問以及遠程訪問等場景，應強制啟用多因素認證機制，以增強身份驗證的安全性。選擇的第二因素應具備不易被復制、竊取的特性。6.會話管理信息系統應設置合理的會話超時時間。當用戶在規定時間內未進行任何操作時，系統應自動鎖定會話或結束登錄狀態，防止未授權人員利用閑置會話進行操作。7.審計與監控組織應建立賬號密碼相關操作的審計日志機制，記錄賬號的創建、刪除、權限變更、密碼修改、登錄成功與失敗等關鍵事件。審計日志應妥善保存，保存期限不少于一年，并定期進行審查，以便及時發現異常訪問行為或安全事件。對于特權賬號的操作，應進行更詳細的日志記錄和重點監控。8.安全意識培訓組織應定期對所有用戶進行賬號密碼安全意識培訓，使其了解本程序的要求、密碼安全的重要性以及常見的攻擊手段（如釣魚、社會工程學），提高用戶的安全防范意識和能力。9.違規處理與持續改進對于違反本程序規定的行為，組織將根據情節嚴重程度及相關規定進行處理。本程