信息系统口令、密码和密钥管理
1范围
本标准规定了信息网网络安全管理人员的职责、管理内容和工作要求，以及信息系统口令、密码和密钥管理。

本标准适用于公司所有信息网络、应用系统及设备和用户所有层次的口令管理。

2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款，凡是注日期的引用文件，其随后所
1994
1998
2000
2003
2006
2006
3
3.1
3.2
密钥
4职责
4.1
4.1.2
部门设置应用系统的口令、密码和密钥；指导各用户设置开机口令。

4.2信息中心各专职职责
4.1.3网络安全管理员负责保管网络设备及相关安全防护设备(系统)的账号、口令的设置和更改。

4.1.4主机管理员负责主机、数据库系统的账号、口令的设置和更改。

4.1.5应用系统管理员负责应用系统的账号、口令的设置和更改。

4.1.6网络信息安全员负责管理和监督检查信息网络的安全工作，参加信息网系统事故调查、分析处理和信息网安全事故上报及督促现场安全措施落实，以及网络系统各类分析、统计报告的编制和上报工作。

5管理内容与要求
5.1主机与网络设备(含安全防护系统)口令、密码管理
5.1.1各类主机、网络设备应有明确的管理员负责管理，管理员负责其管辖范围的账号、口令的设
置和更改。

5.1.2各类主机的超级用户口令和网络设备配置口令必须定期更换，更换周期不得超过1个月。

5.1.3各管理员应将口令用信封封存后交网络信息安全员统一保管，如遇管理员出差等情况需打开信封，必须征得信息中心主管同意后方可打开信封使用口令，管理员回来后及时更改口令并重新封存。

口令的保存、更改和开封启用均要有详细记录。

严禁私自启封。

5.1.4更换账号、口令后，必须立即提交新的密封件交网络信息安全员保管，并重新进行登记，旧的密封件当面销毁。

5.1.5不同权限人员应严格保管、保密各自职责的口令，严格限制使用范围，不得向非相关人员透露，原则上不允许多人共同使用一个帐户和口令。

系统管理员不得拥有数据库管理员（DBA）的权限；数据库管理员不得同时拥有系统管理员的权限；数据库管理员应为不同的不同应用系统的数据
5.1.6
证，
户名、
5.1.7
5.2
5.2.1
5.2.2
5.2.3
5.2.4
借他人。

5.2.5
相同。

5.2.6应用系统的各类口令和密码必须加密保存，系统不得采用明文方式保存于服务器或客户端计算机的注册表或硬盘文件系统中。

5.2.7涉密应用系统所采用的各种加解密措施应采用统一的加密算法和密钥管理，并具有权限分级，以适合不同级别的用户存取。

同时密钥必须定期更换。

5.3 工作站口令、密码管理
5.3.1各工作站按要求必须设置开机密码和操作系统管理员密码，并开启屏幕保护中的密码保护功能。

妥善保管密码，并定期更改；同时严禁使用人员泄露自己的口令和密码。

5.3.2各工作站不得设置共享目录，原则上使用办公自动化（OA）系统来相互传送文件，如确有必要，则需要为共享目录设置读取密码，以防止无关人员获得相关信息。

5.4 口令的废止
5.4.1用户因职位变动，而不需使用其原有职责的信息资源，必须移交全部技术资料，明确离岗后的保密义务，并立即更换有关口令和密钥，注销其专用用户。

涉及核心部门开发人员调离时，应确
认对本系统安全不会造成危害后方可调离。

5.4.2丢失或遗忘口令，必须向相关口令管理人员申请，必须得到信息中心主任及以上的人员同意方可。

6报告与记录
口令管理台帐（见附录A）。

7检查与考核
7.1由部门负责人依据本标准进行检查。

7.2根据《公司职工年度考核管理实施办法》进行考核。

附录A
（规范性附录）。