下载文档原格式
信息系统口令密码和密钥管理The final edition was revised on December 14th, 2020.信息系统口令、密码和密钥管理1范围本标准规定了信息网网络安全管理人员的职责、管理内容和工作要求，以及信息系统口令、密码和密钥管理。
本标准适用于公司所有信息网络、应用系统及设备和用户所有层次的口令管理。
2规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款，凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。
凡是不注日期的引用文件，其最新版本适用于本标准。
1994 国务院中华人民共和国计算机信息系统安全保护条例国务院273号令商用密钥管理条例1998 国家保密局中华人民共和国计算机信息系统保密管理暂行规定2000 国家保密局中华人民共和国计算机信息系统国际联网保密管理规定2003 公司网络与信息安全管理办法（试行）2006 公司信息网防病毒运行统计管理规范（试行）2006 公司信息网用户行为规范（试行）3术语与定义以下术语和定义适用于本标准。
信息系统信息系统是用系统思想建立起来的，以电子计算机为基本信息处理手段，以现代通讯设备为基本传输工具，且能为管理决策提供信息服务的人机系统。
即，信息系统是一个由人和计算机等组成的，能进行管理信息的收集、传输、存储、加工、维护和使用的系统。
密钥密钥是一组信息编码，它参与密码的“运算”，并对密码的“运算”起特定的控制作用。
密钥是密码技术中的重要组成部分。
在密码系统中，密钥的生成、使用和管理至关重要。
密钥通常是需要严格保护的，密钥的失控将导致密码系统失效。
4职责信息中心职责4.1.2 信息中心负责信息网系统的服务器、网络设备的口令、密码和密钥的设置和保管，指导相关部门设置应用系统的口令、密码和密钥；指导各用户设置开机口令。
信息中心各专职职责4.1.3 网络安全管理员负责保管网络设备及相关安全防护设备(系统)的账号、口令的设置和更改。
涉密信息系统口令管理制度第一条口令是涉密信息系统身份认证的基本防护措施，为保障涉密信息系统的安全运行，规范网络用户及系统口令，特制定本制度。
第二条具有口令功能的计算机、网络设备等计算机信息系统设备，必须使用口令对用户的身份进行验证和确认。
涉密信息系统设备的口令管理工作由各设备所属单位负责。
第三条计算机设备和输入输出设备的系统设置口令由设备管理员负责管理，网络设备的系统设置口令由网络管理员负责管理，服务器的系统口令由系统管理员负责管理，安全设备和系统的口令由安全管理员负责管理，密码设备的口令由密钥管理员负责管理。
第四条涉密信息系统的计算机设备、输入输出设备、网络设备、安全设备和系统，口令长度要求设置为 12位，字母和数字混合，至少有3位字母、2位数字，且口令须每周更换一次。
第五条涉密信息系统的计算机设备，必须由管理员设置三级口令保护，即CMOS口令、操作系统登录口令和屏幕保护口令，且屏幕保护口令设置时间要求3分钟。
第六条涉密信息系统的输入输出设备，必须由设备管理员在所有的设备配置管理项目中设置口令保护，包括CLI管理、Web管理、SNMP管理、Telnet管理等，不允许采用设备默认的管理口令。
第七条涉密信息系统的网络设备，必须由网络管理员在所有的设备配置管理项目中设置口令保护，包括CLI管理、Web管理、SNMP管理、Telnet管理等，不允许采用设备默认的管理口令。
第八条涉密信息系统的服务器口令由系统管理员负责管理和定期维护，对于服务器普通用户的口令，系统管理员还负有如下职责:(一)给新增加的用户分配初始口令，规定用户口令的最小位数；(二)指导用户正确使用口令；(三)检查用户使用口令情况；(四)帮助用户开启被锁定的口令或重置口令，并对非法操作及时查明原因；(五)解决口令使用过程中出现的问题等。
第九条涉密信息系统的安全设备和系统，必须由安全管理员设置口令保护，包括CLI管理、Web管理等，不允许采用设备和系统默认的管理口令。
密钥管理技术一、摘要密钥管理是处理密钥自产生到最终销毁的整个过程的的所有问题，包括系统的初始化，密钥的产生、存储、备份/装入、分配、保护、更新、控制、丢失、吊销和销毁等。
其中分配和存储是最大的难题。
密钥管理不仅影响系统的安全性，而且涉及到系统的可靠性、有效性和经济性。
当然密钥管理也涉及到物理上、人事上、规程上和制度上的一些问题。
密钥管理包括：1、产生与所要求安全级别相称的合适密钥；2、根据访问控制的要求，对于每个密钥决定哪个实体应该接受密钥的拷贝；3、用可靠办法使这些密钥对开放系统中的实体是可用的，即安全地将这些密钥分配给用户；4、某些密钥管理功能将在网络应用实现环境之外执行，包括用可靠手段对密钥进行物理的分配。
二、关键字密钥种类密钥的生成、存储、分配、更新和撤销密钥共享会议密钥分配密钥托管三、正文（一）密钥种类1、在一个密码系统中，按照加密的内容不同，密钥可以分为一般数据加密密钥(会话密钥)和密钥加密密钥。
密钥加密密钥还可分为次主密钥和主密钥。
（1）、会话密钥, 两个通信终端用户在一次会话或交换数据时所用的密钥。
一般由系统通过密钥交换协议动态产生。
它使用的时间很短，从而限制了密码分析者攻击时所能得到的同一密钥加密的密文量。
丢失时对系统保密性影响不大。
（2）、密钥加密密钥（Key Encrypting Key，KEK）, 用于传送会话密钥时采用的密钥。
（3）、主密钥（Mater Key）主密钥是对密钥加密密钥进行加密的密钥，存于主机的处理器中。
2、密钥种类区别（1）、会话密钥会话密钥(Session Key)，指两个通信终端用户一次通话或交换数据时使用的密钥。
它位于密码系统中整个密钥层次的最低层，仅对临时的通话或交换数据使用。
会话密钥若用来对传输的数据进行保护则称为数据加密密钥，若用作保护文件则称为文件密钥，若供通信双方专用就称为专用密钥。
会话密钥大多是临时的、动态的，只有在需要时才通过协议取得，用完后就丢掉了，从而可降低密钥的分配存储量。
岗位信息安全责任制度信息安全岗位职责第一条严格遵守信息安全保密制度，不得泄露操作系统、数据库的系统管理员帐号、密码，切实保障系统安全。
合理配置操作系统、数据库管理系统所提供的安全审计功能，以达到相应安全等级标准。
关闭与应用系统无关的所有网络端口，制定严格的网络安全策略机制，防止非法用户的侵入。
及时安装正式发布的系统补丁，修补系统存在的安全漏洞，防止系统遭受各种恶意攻击。
启用系统提供的审计功能，监测系统运行日志，掌握系统运行状况。
第二条加强口令密码、密钥安全管理。
严格按照相关规定设置符合安全保密策略的口令密码并定期或不定期进行更换。
严格按照安全保密机制对所用密钥生命周期的全过程（产生、存储、分配、使用、废除、归档、销毁）进行管理。
第三条加强信息系统的安全监测。
安全管理人员要制定各种紧急情况应对方案并经常监测、分析计算机信息系统运行状况，切实提高信息系统的安全效能。
要协助业务操作人员审查业务处理结果，发现问题应及时查明原因。
对不能确认的异常现象，必须向计算机安全管理部门报告。
要对计算机信息系统安全运行的监测记录及其分析结果严格管理，未经相关领导许可不得对外发布或引用。
第四条重大安全事件和应急处理。
确认计算机信息系统出现重大安全事件，必须果断采取控制措施，立即报告相关安全工作领导小组并逐级如实上报计算机安全主管部门。
重大安全事件发生后，协助有关人员保护事件现场，积极协助安全事件的调查，做好善后处理工作。
重大安全事件的处理情况，安全管理员必须形成书面材料，报告上级计算机安全主管部门。
第五条定期对信息安全工作进行巡检，并在其他业务管理员的协助下建立完整的安全巡检报告。
要根据信息系统安全需求及网络系统建设的发展，提出网络系统安全整改意见和实施方案，提出具体的解决方案。
第六条落实对其他管理员和普通用户信息安全工作的指导和监督。
第七条监控信息系统的安全需求变化，及时获取来自其他管理员和普通用户的安全意见，进行必要的安全管理体系修订。
计算机信息系统安全管理人员工作职责一、为了加强对计算机信息系统的安全保护，根据《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际联网管理暂行条例》、《计算机信息网络国际联网安全保护管理办法》和其他法律、行政法规的规定，特制定本制度。
二、严格遵守信息安全保密制度，不得泄露操作系统、数据库的系统管理员帐号、密码，切实保障系统安全。
合理配置操作系统、数据库管理系统所提供的安全审计功能，以达到相应安全等级标准。
关闭与应用系统无关的所有网络端口，制定严格的网络安全策略机制，防止非法用户的侵入。
及时安装正式发布的系统补丁，修补系统存在的安全漏洞，防止系统遭受各种恶意攻击。
启用系统提供的审计功能，监测系统运行日志，掌握系统运行状况。
三、加强口令密码、密钥安全管理。
严格按照相关规定设置符合安全保密策略的口令密码并定期或不定期进行更换。
严格按照安全保密机制对所用密钥生命周期的全过程（产生、存储、分配、使用、废除、归档、销毁）进行管理。
密钥应作为绝密数据保管，必须通过机要渠道传递或采用加密通信方式网内分配。
密钥必须定期更换，对已泄露或怀疑泄露的密钥应及时废除，旧密钥必须安全归档。
密钥备份是针对主要密码设备和保密工作人员的意外事件而采取的必要措施，密钥副本的保存必须是物理安全的。
要有在紧急情况下销毁密钥的手段和措施，以防密钥丢失。
四、加强信息系统的安全监测。
安全管理人员要制定各种紧急情况应对方案并经常监测、分析计算机信息系统运行状况，切实提高信息系统的安全效能。
要协助业务操作人员审查业务处理结果，发现问题应及时查明原因。
对不能确认的异常现象，必须向计算机安全管理部门报告。
要对计算机信息系统安全运行的监测记录及其分析结果严格管理，未经相关领导许可不得对外发布或引用。
五、重大安全事件和应急处理。
确认计算机信息系统出现重大安全事件，必须果断采取控制措施，立即报告相关安全工作领导小组并逐级如实上报计算机安全主管部门。
密钥及口令管理制度一、制度目的为了保障企业信息系统和网络安全，防止未经授权的人员访问或篡改重要数据，确保企业信息资产得到充分的保护，特制定本管理制度。
二、适用范围本管理制度适用于企业所有员工在使用企业信息系统和网络时所使用的所有密钥和口令。
三、定义1. 密钥：密钥是用于加密和解密数据的一组规则或算法，用于保护数据的安全性。
2. 口令：口令是一串字符，用于验证用户的身份和权限，通常用于登录系统或访问特定资源。
四、原则1. 最小特权原则：员工只能获得他们所需的最小权限以完成工作任务。
2. 分工管控原则：密钥和口令的管理应该由专门的人员负责，确保安全和可控。
3. 记录审计原则：对密钥和口令的使用应该进行记录和审计，确保安全事件的追踪和溯源。
五、管理责任1. 信息安全部门负责密钥及口令管理制度的制定和执行。
2. 公司管理层负责对制度进行监督和落实。
3. 全体员工有义务遵守相关规定并认真执行。
六、密钥管理1. 密钥的生成和分发只能由信息安全部门负责，避免未授权人员获取密钥。
2. 密钥应该定期更新，以确保安全性。
3. 密钥应该妥善保管，不得随意外泄或共享。
4. 密钥的使用需要经过授权，未经授权不得使用或传递。
七、口令管理1. 口令复杂度要求：口令由字母、数字、特殊字符组合，长度不少于8位。
2. 口令定期更换：员工口令需定期更换，且不得重复使用。
3. 口令安全存储：口令不得以明文形式存储，必须加密存储。
4. 口令共享禁止：口令仅限个人使用，不得共享或泄露。
八、安全意识教育1. 新员工入职培训时需要对本制度进行详细介绍。
2. 定期组织安全意识培训，提高员工对信息安全的重视度。
3. 提供相关案例分析，引导员工深刻理解信息安全风险。
九、制度执行1. 对违反本制度的员工给予相应的处罚，并通报相关部门。
2. 员工举报遭受相关安全事件或违规行为，应该给予奖励或保护。
3. 各部门定期自查，对违规行为及时整改。
十、制度评估1. 定期对本管理制度进行评估和修订，保持与技术和业务发展的同步。
信息系统口令、密码和密钥管理
1范围
本标准规定了信息网网络安全管理人员的职责、管理内容和工作要求，以及信息系统口令、密码和密钥管理。
本标准适用于公司所有信息网络、应用系统及设备和用户所有层次的口令管理。
2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款，凡是注日期的引用文件，其随后所
1994
1998
2000
2003
2006
2006
3
3.1
3.2
密钥
4职责
4.1
4.1.2
部门设置应用系统的口令、密码和密钥；指导各用户设置开机口令。
4.2信息中心各专职职责
4.1.3网络安全管理员负责保管网络设备及相关安全防护设备(系统)的账号、口令的设置和更改。
4.1.4主机管理员负责主机、数据库系统的账号、口令的设置和更改。
4.1.5应用系统管理员负责应用系统的账号、口令的设置和更改。
4.1.6网络信息安全员负责管理和监督检查信息网络的安全工作，参加信息网系统事故调查、分析处理和信息网安全事故上报及督促现场安全措施落实，以及网络系统各类分析、统计报告的编制和上报工作。
5管理内容与要求
5.1主机与网络设备(含安全防护系统)口令、密码管理
5.1.1各类主机、网络设备应有明确的管理员负责管理，管理员负责其管辖范围的账号、口令的设
置和更改。
5.1.2各类主机的超级用户口令和网络设备配置口令必须定期更换，更换周期不得超过1个月。
5.1.3各管理员应将口令用信封封存后交网络信息安全员统一保管，如遇管理员出差等情况需打开信封，必须征得信息中心主管同意后方可打开信封使用口令，管理员回来后及时更改口令并重新封存。
口令的保存、更改和开封启用均要有详细记录。
严禁私自启封。
5.1.4更换账号、口令后，必须立即提交新的密封件交网络信息安全员保管，并重新进行登记，旧的密封件当面销毁。
5.1.5不同权限人员应严格保管、保密各自职责的口令，严格限制使用范围，不得向非相关人员透露，原则上不允许多人共同使用一个帐户和口令。
系统管理员不得拥有数据库管理员（DBA）的权限；数据库管理员不得同时拥有系统管理员的权限；数据库管理员应为不同的不同应用系统的数据
5.1.6
证，
户名、
5.1.7
5.2
5.2.1
5.2.2
5.2.3
5.2.4
借他人。
5.2.5
相同。
5.2.6应用系统的各类口令和密码必须加密保存，系统不得采用明文方式保存于服务器或客户端计算机的注册表或硬盘文件系统中。
5.2.7涉密应用系统所采用的各种加解密措施应采用统一的加密算法和密钥管理，并具有权限分级，以适合不同级别的用户存取。
同时密钥必须定期更换。
5.3 工作站口令、密码管理
5.3.1各工作站按要求必须设置开机密码和操作系统管理员密码，并开启屏幕保护中的密码保护功能。
妥善保管密码，并定期更改；同时严禁使用人员泄露自己的口令和密码。
5.3.2各工作站不得设置共享目录，原则上使用办公自动化（OA）系统来相互传送文件，如确有必要，则需要为共享目录设置读取密码，以防止无关人员获得相关信息。
5.4 口令的废止
5.4.1用户因职位变动，而不需使用其原有职责的信息资源，必须移交全部技术资料，明确离岗后的保密义务，并立即更换有关口令和密钥，注销其专用用户。
涉及核心部门开发人员调离时，应确
认对本系统安全不会造成危害后方可调离。
5.4.2丢失或遗忘口令，必须向相关口令管理人员申请，必须得到信息中心主任及以上的人员同意方可。
6报告与记录
口令管理台帐（见附录A）。
7检查与考核
7.1由部门负责人依据本标准进行检查。
7.2根据《公司职工年度考核管理实施办法》进行考核。
附录A
（规范性附录）。
