Điều 8. Các phương pháp xác thực
8.1. Xác thực dùng định danh (ID) và mật khẩu (password) phải đáp ứng các yêu cầu sau:
8.1.1. Mật khẩu phải có độ dài từ 06 ký tự trở lên, cấu tạo gồm các kí tự số, chữ hoa, chữ thường và các ký tự đặc biệt khác nêu hệ thống cho phép. Các yêu cầu mật khẩu hợp lệ phải được kiểm tra tự động khi thiết lập mật khẩu;
8.1.2. Các mật khẩu mặc định của nhà sản xuất cài đặt sẵn trên các trang thiết bị, phần mềm, cơ sở dữ liệu phải được thay đổi ngay khi đưa vào sử dụng;
8.1.3. Các mật khẩu sử dụng khi có đơn vị bảo trì, khắc phục sự cố tại thiết bị phần cứng, phần mềm...phải được thay đổi ngay sau khi hoàn tất công việc.
8.1.4. Phần mềm quản lý mật khẩu phải có các chức năng:
8.1.4.1. Thông báo người sử dụng thay đổi mật khẩu sắp hết hạn sử dụng:
8.1.4.2. Huy hiệu lực của mật khẩu đã hết hạn sử dụng nhưng không thực hiện việc thay đổi mật khẩu:
8.1.4.3. Cho phép áp dụng các tiêu chuẩn về chiều dài và độ khó của mật khẩu.
8.1.4.4. Cho phép thay đổi ngay mật khẩu bị lộ, có nguy cơ bị lộ hoặc theo yêu cầu của người sử dụng;
8.1.4.5. Ngăn chặn việc sử dụng lại mật khẩu cũ trong một khoảng thời gian nhất định.
8.1.4.6. Vô hiệu hoá tài khoản người sử dụng trong một khoảng thời gian nhất định khi số lần nhập sai mật khẩu của tài khoản đó quá 3 lần.
8.1.4.7. Ghi nhật ký lại toàn bộ các tài khoản đăng nhập thành công và không thành công vào hệ thống CNTT