信息系统口令密码和密钥管理
信息系统口令密码和密钥管理
信息系统口令密码和密钥
管理
The document was prepared on January 2, 2021
信息系统口令、密码和密钥管理
1范围
本标准规定了信息网网络安全管理人员的职责、管理内容和工作要求，以及信息系统口令、密码和密钥管理。
本标准适用于公司所有信息网络、应用系统及设备和用户所有层次的口令管理。
2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款，凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。
1994 国务院中华人民共和国计算机信息系统安全保护条例
国务院273号令商用密钥管理条例
1998 国家保密局中华人民共和国计算机信息系统保密管理暂行规定
2000 国家保密局中华人民共和国计算机信息系统国际联网保密管理规定
2003 公司网络与信息安全管理办法（试行）
2006 公司信息网防病毒运行统计管理规范（试行）
2006 公司信息网用户行为规范（试行）
3术语与定义
以下术语和定义适用于本标准。
信息系统
信息系统是用系统思想建立起来的，以电子计算机为基本信息处理手段，以现代通讯设备为基本传输工具，且能为管理决策提供信息服务的人机系统。即，信息系统是一个由人和计算机等组成的，能进行管理信息的收集、传输、存储、加工、维护和使用的系统。
密钥
密钥是一组信息编码，它参与密码的“运算”，并对密码的“运算”起特定的控制作用。密钥是密码技术中的重要组成部分。在密码系统中，密钥的生成、使用和管理至关重要。密钥通常是需要严格保护的，密钥的失控将导致密码系统失效。
内网信息系统口令管理制度
涉密信息系统口令管理制度
第一条口令是涉密信息系统身份认证的基本防护措施，为保障涉密信息系统的安全运行，规范网络用户及系统口令，特制定本制度。
第二条具有口令功能的计算机、网络设备等计算机信息系统设备，必须使用口令对用户的身份进行验证和确认。涉密信息系统设备的口令管理工作由各设备所属单位负责。
第三条计算机设备和输入输出设备的系统设置口令由设备管理员负责管理，网络设备的系统设置口令由网络管理员负责管理，服务器的系统口令由系统管理员负责管理，安全设备和系统的口令由安全管理员负责管理，密码设备的口令由密钥管理员负责管理。
第四条涉密信息系统的计算机设备、输入输出设备、网络设备、安全设备和系统，口令长度要求设置为 12位，字母和数字混合，至少有3位字母、2位数字，且口令须每周更换一次。
第五条涉密信息系统的计算机设备，必须由管理员设置三级口令保护，即CMOS口令、操作系统登录口令和屏幕保护口令，且屏幕保护口令设置时间要求3分钟。
第六条涉密信息系统的输入输出设备，必须由设备管理员在所有的设备配置管理项目中设置口令保护，包括CLI管理、Web管理、SNMP管理、Telnet管理等，不允许采用设备默认的管理口令。
第七条涉密信息系统的网络设备，必须由网络管理员在所有的设备配置管理项目中设置口令保护，包括CLI管理、Web管理、SNMP
管理、Telnet管理等，不允许采用设备默认的管理口令。
第八条涉密信息系统的服务器口令由系统管理员负责管理和定期维护，对于服务器普通用户的口令，系统管理员还负有如下职责:
(一)给新增加的用户分配初始口令，规定用户口令的最小位数；
信息密码管理制度
信息密码管理制度
一、总则
为了加强信息安全管理，保障信息系统的安全稳定运行，维护信息系统和信息资源的完整性、保密性和可用性，我公司特制定本管理制度。
二、适用范围
本制度适用于我公司所有的信息系统、信息资源以及相关人员的信息管理工作。
三、密码管理
1. 密码的设置
（1）密码的复杂性
用户设置的密码必须包含至少8位字符，且需要包含大小写字母、数字和特殊字符。
（2）密码的周期性更换
用户的密码需要定期更换，建议每90天更换一次。
（3）密码的不重复性
用户的密码在一年内不得重复使用。
2. 密码保存与传输
（1）密码的保存
用户的密码不得明文保存在任何地方，包括纸质文件、电子文档等。
（2）密码的传输
在网络传输密码时，必须采用加密的方式传输，禁止使用明文传输密码。
3. 密码的归属管理
（1）密码的归属单位
各部门需要设立专门的密码管理人员，对部门内的密码进行管理。
（2）密码的分级管理
根据不同的系统和信息资源，设置不同的密码安全等级，对密码进行分级管理。
4. 密码的使用规范
（1）个人密码管理
员工个人密码仅限个人使用，不得转借他人使用。
（2）超级用户密码管理
超级用户密码由专门的管理人员保管，需要经过严格的权限审批才能获取。
5. 密码的监测和违规处理
（1）密码的监测
系统管理员需要对密码进行定期的检测和审计，确保密码的安全性。
（2）密码的违规处理
对于密码管理方面的违规行为，将依据公司相关规定进行处理，包括警告、记过、罚款等处理。
四、密码管理的责任
1. 公司领导层的责任
公司领导层要高度重视信息密码管理工作，并提供必要的资源、支持和保障。
2016+网络与信息安全- 密钥管理
证书的产生过程
CA的公开钥
公开钥 姓名 产生密钥 证书 秘密钥 用户的计算机 CA的计算机 签字 CA的秘密钥
21
CA
KUa CA=EKRauth[Time1, IDA , KUa] KUb
CB=EKRauth[Time2, IDB , KUb]
发起者 A
(1)CA
(2)CB
响应者 B
验证：D KUauth[CA]= DKUauth [EKRauth[T, IDA, KUa]]=(T, IDA, KUa)
◦ T-时间，PKA-A的公钥，IDA－A的身份，SKCA－CA的私钥 ◦ 时戳T保证证书的新鲜性，防止重放旧证书。
CA
任何参与者可以验证证书是来源于CA且非伪造的。 只有该CA才能生成和更新证书； 任何参与者可以验证证书的有效流通时间 说明：泄漏私钥等价于丢失证书。 证书的时间作为有效期。
11
加密算法的三个发展阶段：
古典密码 对称密钥密码（单钥密码体制） 公开密钥密码（双钥密码体制）。
这些算法按密钥管理的方式可以分为对称算法与非对称算法两 大类，即我们通常所说的对称密钥密码体制和非对称密钥密码体制。 对称密钥、私钥或单钥密码体制所用的加密密钥和解密密钥相 同，或实质上等同（即从一个可以推出另外一个）。
22
5、用公钥加密分配单钥密码体制的密钥 — 公钥加密体制的密钥管理
企业安全管理中的加密和密钥管理
汇报人：XX 2023-12-25
contents
目录
• 加密技术基础 • 密钥管理概述 • 企业内部加密实践 • 外部合作与数据传输安全 • 法律法规与合规性要求 • 风险评估、监控与持续改进
加密技术基础
01
加密概念及原理
加密定义
通过特定算法对敏感信息进行转换， 使其在非授权情况下无法被识别和理 解的过程。
加密技术应用场景
数据传输安全
通过SSL/TLS等协议实现浏览器与服务 器之间的数据传输加密，保护用户隐私
和敏感信息。
身份验证与访问控制
运用数字证书、智能卡等技术实现身 份验证和访问控制，确保只有授权用
户能够访问敏感信息和资源。
数据存储安全
采用磁盘加密、数据库加密等技术， 确保数据在存储过程中的机密性和完 整性，防止数据泄露和篡改。
数据加密
对在远程办公和移动设备上处理的数据进行加密 ，确保数据的安全性。
第三方平台集成时的安全保障措施
API安全
对与第三方平台集成的API进行安全设计，包括身份验证、访问控 制和数据加密等。
数据隔离
确保与第三方平台集成的数据在逻辑和物理上进行隔离，防止数据 泄露。
安全审计
对与第三方平台的集成进行定期安全审计，确保集成的安全性和合 规性。
该法案规定了企业必须采取合理的安全措施来保护消费者数据，包括加密和密钥管理。
网络与内容安全004密钥管理与PKI技术课件
（1）数据保密（Data Confidentiality）——密钥&数据 存&传（2）篡改检测（Modification Detection）——对抗主动攻击（3）身份认证（Entity Authentication）——身份确认（4）密钥的新鲜度（Key Freshness）——保证不过时（5）密钥控制（Key Control）——选择密钥或其参数（6）密钥的隐式鉴别（Implicit Key Authentication）——只有适当用户拥有密钥（7）密钥的确信（Key Confirmation）——用户有相应密钥（8）向前的秘密（Perfect Forward Secrecy）——历史保护，不会泄漏之前内容（9）效率（Efficiency）——传输及计算复杂度
在同一信任域中的密钥建立模型
可信第三方TTP对称密码:KDC公钥密码:CA
在多个信任域中的密钥建立模型
TA与TB之间存在信任关系：直接认证TA与TB之间不存在信任关系：借助第三方交叉认证——一个认证中心认证另一个认证中心办法的公钥证书
第四章密钥管理与PKI技术
密钥管理概述 基本概念 密钥建立模型 公钥传输机制 密钥传输机制 密钥导出机制 PKI技术
公安局
用户A的公开密钥用于验证签名和信息加密，与数字证书捆绑在一起，发送给 其他人，也可以通过公开查询获得 -16-
应用密码学密钥管理
17
数字证书与CRL
18
数字证书链
19
交叉认证
不同的系统或应用分别有自己的CA分支，这些分支不 隶属于同一个根认证中心时需要
CA甲给另外一个处于不同分支的CA乙签发一份证书， 这份证书允许CA乙签发可以被CA甲验证的证书
CA does not need to be online CA is relatively easy to implement CA crash=no new users in the network but
all old users operate normally Certificates are not security sensitive,they
交叉认证可直接进行，不需要第三方的参与
20
数字证书的管理
签发 更新 查询 作废 ……
21
有效证书的特征
同时满足以下三个条件 ：
– 有CA的有效签名 – 没有到期 – 未被列入到CRL中
22
X.509证书的鉴别
23
主密钥
– 位于整个密钥层次体系的最高层 – 可在较长时间内由用户所专用的秘密密钥 – 主要用于对密钥加密密钥或会话密钥的保护 – 主密钥的分发基于物理渠道或其他可靠的方法
第四章 密钥管理技术
在现代的信息系统中用密码技术对信息 进行保密，其安全性实际取决于对密钥的 安全保护。在一个信息安全系统中，如果 密钥一旦丢失或出错，致使合法用户不能 提取信息，然而非法用户却可能窃取到保 密的信息。这就像如果您把自家的钥匙弄 丢了或损坏了，在没有第二把钥匙的情况 下，您就无法进入您的家门了；然而如果 您的钥匙到了小偷的手里，您的家门对小 偷来说就失去它本来的意义了。因此密钥 管理在信息安全系统中的重要性就不言而 喻了。
（3）会话密钥 会话密钥可在密钥加密密钥的作用下通过 某种安全算法产生，比如用初始密钥控制 非线性移位寄存器或用密钥加密密钥控制 DES算法产生。
4.1.3 密钥的注入
密钥的注入通常采用人工方式。在可能的情 况下，重要的密钥可由多人、分批次分开完成注 入，并且注入的内容不能被显示出来。为了掌握 密钥的注入过程，所有的密钥按编号进行管理。 密钥通常用的注入方法有：键盘输入、密钥注入 设备输入、智能卡输入。 除了正在进行加密操作的情况以外，密钥应 当一律以加密保护的形式存储。密钥的注入过程 应当有一个封闭的环境，不存在可能被窃听装置 接收的电磁泄露或其它辐射，所有与密钥注入有 关的人员应当绝对可靠。
具体的密钥管理包括： （1）产生与所要求安全级别相称的合适密钥。 （2）根据访问控制的要求，决定每个密钥， 哪个实体应该接受该密钥的拷贝。 （3）用可靠办法使这些密钥对开放系统中的 实体是可用的，即安全地将这些密钥分配 给用户。 （4）某些密钥管理功能将在网络应用实现环 境之外执行，包括用可靠手段对密钥进物 理的分配。
密钥及口令管理制度
密钥及口令管理制度
一、制度目的
为了保障企业信息系统和网络安全，防止未经授权的人员访问或篡改重要数据，确保企业
信息资产得到充分的保护，特制定本管理制度。
二、适用范围
本管理制度适用于企业所有员工在使用企业信息系统和网络时所使用的所有密钥和口令。
三、定义
1. 密钥：密钥是用于加密和解密数据的一组规则或算法，用于保护数据的安全性。
2. 口令：口令是一串字符，用于验证用户的身份和权限，通常用于登录系统或访问特定资源。
四、原则
1. 最小特权原则：员工只能获得他们所需的最小权限以完成工作任务。
2. 分工管控原则：密钥和口令的管理应该由专门的人员负责，确保安全和可控。
3. 记录审计原则：对密钥和口令的使用应该进行记录和审计，确保安全事件的追踪和溯源。
五、管理责任
1. 信息安全部门负责密钥及口令管理制度的制定和执行。
2. 公司管理层负责对制度进行监督和落实。
3. 全体员工有义务遵守相关规定并认真执行。
六、密钥管理
1. 密钥的生成和分发只能由信息安全部门负责，避免未授权人员获取密钥。
2. 密钥应该定期更新，以确保安全性。
3. 密钥应该妥善保管，不得随意外泄或共享。
4. 密钥的使用需要经过授权，未经授权不得使用或传递。
七、口令管理
1. 口令复杂度要求：口令由字母、数字、特殊字符组合，长度不少于8位。
2. 口令定期更换：员工口令需定期更换，且不得重复使用。
3. 口令安全存储：口令不得以明文形式存储，必须加密存储。
4. 口令共享禁止：口令仅限个人使用，不得共享或泄露。
八、安全意识教育
1. 新员工入职培训时需要对本制度进行详细介绍。
信息系统密码应用方案详解 (2)
信息系统密码应用方案详解
引言
在信息化时代，各种类型的信息系统广泛应用于各个领域，对于保护系统安全和信息的机密性，密码技术起到了重要的作用。信息系统的密码应用方案是设计和实施安全和可靠的密码功能，以确保系统中的敏感信息不被未经授权的人员获取。
本文将详细介绍信息系统密码应用方案的相关概念、原则
和常用技术，以供读者进一步了解并应用于实际的信息系统中。
信息系统密码应用方案的原则
保密性
保密性是信息系统密码应用方案的首要原则之一。它确保
只有经过授权的用户能够访问和阅读敏感信息。为实现保密性，可以采用以下技术手段：
•对称加密算法：使用同一个密钥进行加密和解密，
常见的对称加密算法有AES和DES等。
•非对称加密算法：使用不同的公钥和私钥进行加密
和解密，常见的非对称加密算法有RSA和ECC等。
•哈希算法：将敏感信息生成固定长度的哈希值，以
验证信息的完整性和真实性。
完整性
完整性是信息系统密码应用方案的另一个重要原则。它确
保信息在传输和存储过程中没有被篡改或损坏。为实现完整性，可以采用以下技术手段：
•数字签名：使用发送者的私钥对信息进行加密，接
收者使用发送者的公钥进行解密，从而验证信息的真实性
和完整性。
•消息认证码：使用共享密钥生成固定长度的认证码，将认证码与信息一起发送给接收者，接收者使用同样的共
享密钥生成认证码，对比两者是否一致，以验证信息的完
整性。
可用性
可用性是信息系统密码应用方案的另一重要原则。它确保系统在面临攻击或故障时仍然能够保持正常的运行。为实现可用性，可以采用以下技术手段：
•容灾备份：将系统数据和配置进行备份，并在主系统故障时快速切换到备用系统。
信息系统密码应用方案详解
信息系统密码应用方案详解
1. 引言
信息安全的重要性越来越受到人们的关注，而密码作为保
障信息系统安全的基本手段之一，也扮演着至关重要的角色。本文将详细介绍信息系统密码应用方案，包括密码的定义、密码的种类、密码的使用原则以及常见的密码应用方案。
2. 密码的定义
密码，即通信密码，是指为保护信息的安全性而采用的一
种加密方法。它通过将明文信息转换为密文信息，使得只有掌握正确的密钥才能解密出明文信息。在信息系统中，密码有着广泛的应用，如用户身份验证、数据加密和传输等。
3. 密码的种类
密码可以按照加密算法的不同分类，常见的密码种类如下：
3.1. 对称密码
对称密码，又称为共享密钥密码，是使用相同的密钥进行
加密和解密的密码系统。常见的对称密码算法有DES、AES等。
对称密码的优点是速度快，但缺点是密钥的管理和分发较为困难，容易受到密码破解的攻击。
3.2. 非对称密码
非对称密码，又称为公钥密码，采用两个密钥：公钥和私钥。公钥用于加密信息，私钥用于解密信息。公钥可以公开，而私钥只有信息接收者才能拥有。常见的非对称密码算法有RSA、DSA等。非对称密码的优点是密钥管理和分发相对简单安全，但缺点是速度较慢。
3.3. 哈希密码
哈希密码是将明文信息通过哈希函数转换为固定长度的哈
希值的一种密码。常见的哈希函数有MD5、SHA-1等。哈希
密码主要用于校验信息的完整性，一般不用于加密和解密。
4. 密码的使用原则
在使用密码时，需要遵循一些原则，以提高密码的安全性：
4.1. 密码复杂性原则
密码应该具有一定的复杂性，包括使用大小写字母、数字
岗位信息安全责任制度(四篇)
岗位信息安全责任制度
信息安全岗位职责
第一条严格遵守信息安全保密制度，不得泄露操作系统、数据库的系统管理员帐号、密码，切实保障系统安全。合理配置操作系统、数据库管理系统所提供的安全审计功能，以达到相应安全等级标准。关闭与应用系统无关的所有网络端口，制定严格的网络安全策略机制，防止非法用户的侵入。及时安装正式发布的系统补丁，修补系统存在的安全漏洞，防止系统遭受各种恶意攻击。启用系统提供的审计功能，监测系统运行日志，掌握系统运行状况。
第二条加强口令密码、密钥安全管理。严格按照相关规定设置符合安全保密策略的口令密码并定期或不定期进行更换。严格按照安全保密机制对所用密钥生命周期的全过程（产生、存储、分配、使用、废除、归档、销毁）进行管理。
第三条加强信息系统的安全监测。安全管理人员要制定各种紧急情况应对方案并经常监测、分析计算机信息系统运行状况，切实提高信息系统的安全效能。要协助业务操作人员审查业务处理结果，发现问题应及时查明原因。对不能确认的异常现象，必须向计算机安全管理部门报告。要对计算机信息系统安全运行的监测记录及其分析结果严格管理，未经相关领导许可不得对外发布或引用。
第四条重大安全事件和应急处理。确认计算机信息系统出现重大安全事件，必须果断采取控制措施，立即报告相关安全工作领导小组
并逐级如实上报计算机安全主管部门。重大安全事件发生后，协助有关人员保护事件现场，积极协助安全事件的调查，做好善后处理工作。重大安全事件的处理情况，安全管理员必须形成书面材料，报告上级计算机安全主管部门。
第五条定期对信息安全工作进行巡检，并在其他业务管理员的协助下建立完整的安全巡检报告。要根据信息系统安全需求及网络系统建设的发展，提出网络系统安全整改意见和实施方案，提出具体的解决方案。
密码系统的两个基本要素是加密算法和密钥管理
密码系统的两个基本要素是加密算法和密钥管理。加密算法是一些公式和法则，它规定了明文和密文之间的变换方法。由于密码系统的反复使用，仅靠加密算法已难以保证信息的安全了。事实上，加密信息的安全可靠依赖于密钥系统，密钥是控制加密算法和解密算法的关键信息，它的产生、传输、存储等工作是十分重要的。
随着信息化和数字化社会的发展，人们对信息安全和保密的重要性认识不断提高，而在信息安全中起着举足轻重作用的密码学也就成为信息安全课程中不可或缺的重要部分，密码学早在公元前400多年就已经产生，正如《破译者》一书中所说的"人类使用密码的历史几乎与使用文字的时间一样长"。密码学（Cryptograph）一词来源于古希腊语Kruptos（hidden）+ graphein（to write）准确的现代术语是"密码编制学"简称"编密学"，与之相对的专门研究如何破解密码的学问称之为"密码分析学"。密码学则包括密码编制学和密码分析学这两个相互独立又相互依存的分支。从其发展来看，可分为古典密码--以字符为基本加密单元的密码，以及现代密码--以信息块为基本加密单元的密码。第一次世界大战前，重要的密码学进展很少出现在公开文献中，但该领域却和其它专业学科一样向前发展.直到1918年，二十世纪最有影响的密码分析文章之William F. Friedman的专题论文《重合指数及其在密码学中的应用》作为私立的"河岸（Riverbank）实验室"的一份研究报告问世。1949年到1967年，密码学文献近乎空白。在1967年，一部与众不同的著作--David Kahn 的《破译者》出现，它没有任何新的技术思想，但却对以往
完善网络安全管理制度
完善网络安全管理制度
**县人民政府网络安全管理制度 2018年8月修订前言本文档制定了信息系统的总体方针和策略，是网络信息安全工作的最高层的安全文件，是所有网络安全行为的指导方针，规范信息系统生命周期相关活动的安全管理制度则以安全方针政策为指导。
该文档阐明了机构信息安全工作的使命和意愿、定义信息安全的总体目标、规定信息安全责任机构和职责、建立信息安全工作运行模式等，以保证信息安全工作的正确执行，也是建立完整的安全体系最根本的基础。
本文档的编制参照了以下国家、中心的标准和文件：（一）《中华人民共和国计算机信息系统安全保护条例》（二）《关于信息安全等级保护建设的实施指导意见》（信息运安〔2009〕27 号）（三）《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239-2008）（四）《信息安全技术信息系统安全管理要求》（GB/T 20269—2006）（五）《信息系统等级保护安全建设技术方案设计要求》（报批稿）（六）《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429号）目录系统安全管理制度··································1 附件一：计算机信息系统安全管理员工作职责··········6 网络安全管
理制度··································8 附表二：系统(设备)变更登记表······················12 机房管理制度·························13 附表三：出入机房申请/登记表·······················18 账户及口令管理制度·······························19 附件四：信息中心系统用户责任与义务···············26 附件五：系统管理员责任与义务·····················27 网络安全故障应急预案·····························28 网络安全相关工作流程图···························35 系统安全管理制度一、总则为保障计算机系统、网络系统安全、稳定、有效运行，提高计算机系统、网络系统安全运行管理的科学化、规范化水平，特制定本办法。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息系统口令密码和密钥
管理
The final edition was revised on December 14th, 2020.
信息系统口令、密码和密钥管理
1范围
本标准规定了信息网网络安全管理人员的职责、管理内容和工作要求，以及信息系统口令、密码和密钥管理。
本标准适用于公司所有信息网络、应用系统及设备和用户所有层次的口令管理。
2规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款，凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。
1994 国务院中华人民共和国计算机信息系统安全保护条例
国务院273号令商用密钥管理条例
1998 国家保密局中华人民共和国计算机信息系统保密管理暂行规定
2000 国家保密局中华人民共和国计算机信息系统国际联网保密管理规定2003 公司网络与信息安全管理办法（试行）
2006 公司信息网防病毒运行统计管理规范（试行）
2006 公司信息网用户行为规范（试行）
3术语与定义
以下术语和定义适用于本标准。
信息系统
信息系统是用系统思想建立起来的，以电子计算机为基本信息处理手段，以现代通讯设备为基本传输工具，且能为管理决策提供信息服务的人机系统。即，信息系统是一个由人和计算机等组成的，能进行管理信息的收集、传输、存储、加工、维护和使用的系统。
密钥
密钥是一组信息编码，它参与密码的“运算”，并对密码的“运算”起特定的控制作用。密钥是密码技术中的重要组成部分。在密码系统中，密钥的生成、使用和管理至关重要。密钥通常是需要严格保护的，密钥的失控将导致密码系统失效。4职责
信息中心职责
4.1.2 信息中心负责信息网系统的服务器、网络设备的口令、密码和密钥的设置和保管，指导相关部门设置应用系统的口令、密码和密钥；指导各用户设置开机口令。
信息中心各专职职责
4.1.3 网络安全管理员负责保管网络设备及相关安全防护设备(系统)的账号、口令的设置和更改。
4.1.4 主机管理员负责主机、数据库系统的账号、口令的设置和更改。
4.1.5 应用系统管理员负责应用系统的账号、口令的设置和更改。
4.1.6 网络信息安全员负责管理和监督检查信息网络的安全工作，参加信息网系统事故调查、分析处理和信息网安全事故上报及督促现场安全措施落实，以及网络系统各类分析、统计报告的编制和上报工作。
5管理内容与要求
主机与网络设备(含安全防护系统)口令、密码管理
5.1.1 各类主机、网络设备应有明确的管理员负责管理，管理员负责其管辖范围的账号、口令的设置和更改。
5.1.2 各类主机的超级用户口令和网络设备配置口令必须定期更换，更换周期不得超过1个月。
5.1.3 各管理员应将口令用信封封存后交网络信息安全员统一保管，如遇管理员出差等情况需打开信封，必须征得信息中心主管同意后方可打开信封使用口令，管理员回来后及时更改口令并重新封存。口令的保存、更改和开封启用均要有详细记录。严禁私自启封。
5.1.4 更换账号、口令后，必须立即提交新的密封件交网络信息安全员保管，并重新进行登记，旧的密封件当面销毁。
5.1.5 不同权限人员应严格保管、保密各自职责的口令，严格限制使用范围，不得向非相关人员透露，原则上不允许多人共同使用一个帐户和口令。系统管理员不得拥有数据库管理员（DBA）的权限；数据库管理员不得同时拥有系统管理员的权限；数据库管理员应为不同的不同应用系统的数据库建立不同的用户并仅作为该应用数据库的管理员，不同应用数据库的管理员一般不能具备访问其他应用数据库的权限。系统上线后，必须删除测试帐户，严禁系统开发人员掌握系统管理员口令。
5.1.6 软件开发商在开发应用软件期间，应充分考虑应用软件的安全设计，设计应保证用户名和口令不以明文的形式存放在配置文件、注册表或数据库中。访问数据库的用户名和口令不能固化在应用软件中或直接写在数据库中。口令必须能方便地配置、修改和加密。按照人员进行口令分配和认证，不能仅按照角色进行口令分配。对不同用户共享资源进行访问必须进行用户身份的控制和认证。软件开发商在应用软件的移交过程中，必须向运行维护部门提供关于应用软件的安全设计文档和用户名、口令和配置方案；运行维护部门在应用软件接收过程中必须全面掌握软件的设计并对其进行全面评估，评估合格后，由运行维护部门重新设定用户名和口令，方能上线运行。
5.1.7 因应用软件的升级或修改需要临时授权时，开发人员必须以书面的形式申请，并得到信息中心主管及以上的人员同意方可授权，维护结束后，相关管理人员必须立即删除用户或更改口令。
应用系统的口令、密码和密钥管理
5.2.1 各应用信息系统的主管部门对于重要应用系统必须建立相应操作人员口令、密码和密钥管理制度，分清各级操作人员职责。
5.2.2 应用系统应实行权限分散原则。明确系统管理员、系统操作员、程序员等的权限和操作范围，并设置相应的操作口令和密码。
5.2.3 严格限制各类应用系统超级用户的使用范围，操作系统、数据库管理系统、各类应用系统的超级用户口令必须专人掌管，定期更换。重要密码修改要有记录。
5.2.4 所有用户都必须妥善保存好数字证书载体，并对载体的保护口令严格保密，数字证书不得转借他人。
5.2.5 各级操作人员应有互不相同的用户名和口令，定期更换操作口令。严禁操作人员泄露自己的操作口令，系统口令长度不得少于八个字符，要求字母和数字或特殊字符混合，用户名和口令禁止相同。
5.2.6 应用系统的各类口令和密码必须加密保存，系统不得采用明文方式保存于服务器或客户端计算机的注册表或硬盘文件系统中。
5.2.7 涉密应用系统所采用的各种加解密措施应采用统一的加密算法和密钥管理，并具有权限分级，以适合不同级别的用户存取。同时密钥必须定期更换。