Chính sách bảo mật Mật khẩu

Tổng quan

Mật khẩu là một khía cạnh quan trọng của bảo mật máy tính. Họ là tuyến đầu bảo vệ tài khoản người dùng. Mật khẩu được chọn không đúng có thể dẫn đến việc xâm phạm toàn bộ mạng công ty của {COMPANY-NAME}.

Do đó, tất cả nhân viên hoặc tình nguyện viên/giám đốc của {COMPANY-NAME} (bao gồm cả nhà thầu và nhà cung cấp có quyền truy cập vào hệ thống của {COMPANY-NAME}) có trách nhiệm thực hiện các bước thích hợp, như được nêu bên dưới, để chọn và bảo mật mật khẩu của họ.

Mục đích

Mục đích của chính sách bảo mật mật khẩu là thiết lập một tiêu chuẩn cho việc tạo mật khẩu mạnh, bảo vệ các mật khẩu đó và tần suất thay đổi.

Khán giả

Chính sách này áp dụng cho tất cả nhân viên hoặc tình nguyện viên/giám đốc có hoặc chịu trách nhiệm về một tài khoản (hoặc bất kỳ hình thức truy cập nào hỗ trợ hoặc yêu cầu mật khẩu) trên bất kỳ hệ thống nào đặt tại bất kỳ cơ sở nào của {COMPANY-NAME}, có quyền truy cập vào mạng {COMPANY-NAME} hoặc lưu trữ bất kỳ thông tin không công khai nào của {COMPANY-NAME}.

Chi tiết chính sách

Mật khẩu mạng người dùng

Mật khẩu để truy cập mạng của {COMPANY-NAME} phải được triển khai theo các nguyên tắc sau:

• Mật khẩu phải được thay đổi 90 ngày một lần
• Mật khẩu phải tuân thủ độ dài tối thiểu 10 ký tự
• Mật khẩu phải chứa sự kết hợp của các ký tự chữ và số, số và đặc biệt, trong đó hệ thống máy tính cho phép (!@#$%^&*_+=?/~';',<>|\)
• Mật khẩu không được dễ dàng gắn lại với chủ tài khoản, chẳng hạn như:
  • Tên người dùng, số an sinh xã hội, biệt hiệu, tên người thân, ngày sinh, v.v.
• Mật khẩu không được là từ điển hoặc từ viết tắt
• Mật khẩu không thể được sử dụng lại trong 1 năm

Mật khẩu cấp hệ thống

• Tất cả mật khẩu cấp hệ thống phải tuân thủ các nguyên tắc sau :
  • Mật khẩu phải được thay đổi ít nhất 6 tháng một lần
  • Tất cả tài khoản quản trị viên phải có mật khẩu 12 ký tự, trong đó phải chứa ba trong số bốn mục: chữ hoa, chữ thường, số và ký tự đặc biệt.
  • Mật khẩu không hết hạn phải được ghi lại trong tài liệu liệt kê các yêu cầu đối với các tài khoản đó. Các tài khoản này cần phải tuân thủ các tiêu chuẩn giống như tài khoản quản trị viên
  • Quản trị viên không được phá vỡ Chính sách mật khẩu vì mục đích dễ sử dụng

Mật khẩu bảo vệ

• Không được sử dụng cùng một mật khẩu cho nhiều tài khoản.
• Mật khẩu không được chia sẻ với bất cứ ai. Tất cả mật khẩu phải được coi là thông tin nhạy cảm, bí mật của {COMPANY-NAME}.
• Mật khẩu được lưu trữ phải được mã hóa.
• Không được chèn mật khẩu vào tin nhắn e-mail hoặc các hình thức liên lạc điện tử khác.
• Mật khẩu không được tiết lộ qua điện thoại cho bất cứ ai.
• Mật khẩu không được tiết lộ trên bảng câu hỏi hoặc biểu mẫu bảo mật.
• Người dùng không được gợi ý về định dạng của mật khẩu (ví dụ: “họ của tôi”).
• Không được chia sẻ mật khẩu của {COMPANY-NAME} với bất kỳ ai, kể cả đồng nghiệp, người quản lý hoặc thành viên gia đình khi đi nghỉ.
• Mật khẩu không được viết ra và lưu trữ ở bất kỳ đâu trong bất kỳ văn phòng nào. Mật khẩu không được lưu trữ trong một tập tin trên hệ thống máy tính hoặc thiết bị di động (điện thoại, máy tính bảng) mà không được mã hóa.
• Nếu có vấn đề về tính bảo mật của tài khoản, mật khẩu phải được thay đổi ngay lập tức. Trong trường hợp tìm thấy hoặc phát hiện mật khẩu, phải thực hiện các bước sau:
  • Kiểm soát mật khẩu và bảo vệ chúng
  • Báo cáo phát hiện cho bộ phận CNTT
• Người dùng không thể vượt qua việc nhập mật khẩu bằng tính năng đăng nhập tự động, ghi nhớ ứng dụng, tập lệnh nhúng hoặc mật khẩu được mã hóa cứng trong phần mềm máy khách. Các ngoại lệ có thể được thực hiện cho các ứng dụng cụ thể (như quy trình sao lưu tự động) với sự chấp thuận của bộ phận CNTT. Để một ngoại lệ được chấp thuận, phải có quy trình thay đổi mật khẩu.
• Không được để PC không được giám sát mà không bật trình bảo vệ màn hình được bảo vệ bằng mật khẩu hoặc đăng xuất khỏi thiết bị.
• Nếu có vấn đề về tính bảo mật của tài khoản, mật khẩu phải được thay đổi ngay lập tức. Trong trường hợp tìm thấy hoặc phát hiện mật khẩu, phải thực hiện các bước sau:
  • Kiểm soát mật khẩu và bảo vệ chúng
  • Báo cáo phát hiện cho bộ phận CNTT
• Mã thông báo bảo mật (tức là thẻ thông minh, mã thông báo phần cứng RSA, v.v.) phải được trả lại theo yêu cầu hoặc khi chấm dứt mối quan hệ với {COMPANY-NAME}.

Tiêu chuẩn phát triển ứng dụng

Các nhà phát triển ứng dụng phải đảm bảo chương trình của họ tuân theo các biện pháp phòng ngừa bảo mật trong chính sách này và các tiêu chuẩn ngành.