09口令策略口令策略.docVIP

口令策略 AXBJLYF30 发布部门 项目部 生效时间 2017年7月1日 批准人 李庆旭 介绍 用户授权是控制信息资源访问者的一种方式。对访问进行控制是任何信息资源所必须的。未经授权的人员访问到信息资源可能会引起信息保密性、完整性和可用性的丢失，导致收入、信誉的损失或经济困难。使用下列三个要素或其三者的任意组合可以鉴别用户，即： 你知道——口令识别号（PIN） 你持有——智能卡 你拥有——指纹、虹膜、声音 三者的任意组合——智能卡和口令识别号 目的 该策略的目的是为用户鉴别机制建立创造、分发、保护、终止以及收回的规则。 适用范围 该策略适用于任何信息资源的使用者。 内容 所有口令，包括初始口令，都必须依据部门规定的下列规则建立和执行： 必须定期更改； 必须符合部门规定的最小长度6位； 必须是字母和数字字符的组合； 必须不能是可以轻易联想到的账号所有者的特性：用户名、绰号、亲属的姓名、生日等； 必须不能用字典中的单词或首字母缩写； 必须保存历史口令，以防止口令的重复使用。 存储的口令必须进行加密； 用户的账号口令必须不能泄露级任何人。部门不能询问用户的账户，口令； 安全标志（如智能卡）在关系结束时，必须退回； 如果怀疑口令的安全性，应立即进行更改； 管理员不能为了使用信息资源规避口令； 用户不能通过自动登录的方式绕过口令登录程序； 计算机设备如果无人值守必须启动口