公司弱口令与身份认证强化制度.docxVIP

公司弱口令与身份认证强化制度

第一章总则

第一条制定目的

为规范公司各类账号、系统的口令管理，强化身份认证安全，防范弱口令破解、账号盗用、权限滥用等网络安全风险，保护公司核心数据、业务系统及信息资产安全，保障公司经营活动有序开展，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《网络安全等级保护基本要求》（GB/T22239-2019）等相关法律法规及行业标准，结合公司实际情况，制定本制度。

第二条适用范围

本制度适用于公司全体员工（含正式员工、试用期员工、实习生）、合作单位人员、外包人员及所有使用公司信息系统（包括办公系统、业务管理平台、客户服务系统、服务器、数据库、VPN、远程桌面等）的人员，覆盖所有账号的申请、创建、使用、变更、注销全生命周期，以及各类系统的身份认证环节。

第三条核心原则

1.最小权限原则：账号权限仅授予完成工作所需的最低权限，杜绝权限冗余；2.全程管控原则：实现账号全生命周期规范化管理，确保账号与人员/岗位唯一对应；3.安全可控原则：口令设置、身份认证方式符合安全规范，可监测、可追溯、可应急；4.全员负责原则：全体相关人员严格遵守本制度，对自身使用的账号及身份认证安全负责。

第二章弱口令管控规范

第四条弱口令定义及禁止类型

弱口令指容易被猜测、暴力破解工具破解的口令，主要包括以下类型，公司严禁使用此类口令作为任何系统