Điều 11. Quản lý mật khẩu
1. Lãnh đạo đơn vị vận hành Trung tâm Dữ liệu có trách nhiệm tiếp nhận mật khẩu quản trị hệ thống sau khi hệ thống được bàn giao và đưa vào sử dụng; sau đó tiến hành bàn giao cho cán bộ quản lý hệ thống có biên bản kèm theo, lưu vào nơi an toàn (cho vào phong bì, để vào tủ có khóa).
2. Mật khẩu phải bảo đảm độ an toàn về độ phức tạp, thời gian sử dụng, lưu trữ
a) Độ dài của mật khẩu: Đối với mật khẩu của nhân viên vận hành và người sử dụng (dùng để đăng nhập thư điện tử, ứng dụng nghiệp vụ, máy tính cá nhân và các ứng dụng khác): Tối thiểu là 08 ký tự; đối với mật khẩu quản trị hệ thống (sử dụng cho quản trị các hệ thống mạng, bảo mật, máy chủ, thư điện tử, ứng dụng dùng chung): Tối thiểu là 12 ký tự;
b) Nội dung mật khẩu: Không bao gồm các từ dễ nhớ như: Tên, ngày, tháng, năm sinh, số điện thoại; Đối với mật khẩu quản trị hệ thống phải bao gồm các loại ký tự sau: chữ cái in thường, chữ cái in hoa, ký tự đặc biệt, số;
c) Thời gian sử dụng mật khẩu: Đối với mật khẩu của nhân viên quản lý vận hành (không phải quản trị cấp cao nhất) định kỳ phải được thay đổi ít nhất 03 tháng một lần. Trường hợp có thay đổi về nhân sự hoặc yêu cầu tăng cường bảo mật về an toàn an ninh thông tin thì lãnh đạo đơn vị vận hành Trung tâm Dữ liệu quyết định việc thay đổi toàn bộ mật khẩu quản trị của Trung tâm Dữ liệu;
d) Quy định sử dụng và lưu trữ mật khẩu: Người sử dụng phải thay đổi mật khẩu mặc định ngay khi đưa hệ điều hành, phần mềm vào sử dụng; không lưu trữ mật khẩu trên máy tính cá nhân, các thiết bị điện tử; phải tiến hành thay đổi mật khẩu ngay khi có dấu hiệu bị lộ, lọt thông tin mật khẩu; không được tiết lộ mật khẩu của cá nhân, tổ chức, trường hợp bàn giao tài khoản truy cập ứng dụng phải có biên bản bàn giao; các tài liệu liên quan đến mật khẩu được xem là tài liệu tối mật, không soạn thảo, lưu trữ trên máy tính có nối mạng Internet.