Điều 10. Đảm bảo an toàn thông tin số trong việc quản lý và sử dụng tài khoản
1. Mật khẩu của tất cả các tài khoản trong hệ thống thông tin của các cơ quan (ở cả cấp độ quản trị hệ thống và cấp độ người sử dụng) phải tuân thủ đồng thời các yêu cầu sau:
a) Có chứa cả các ký tự chữ in và chữ thường;
b) Có chứa ký tự số, các ký tự dấu câu hoặc các ký tự đặc biệt;
c) Có ít nhất 08 ký tự đối với tài khoản người dùng, ít nhất 15 ký tự đối với tài khoản quản trị hệ thống;
d) Không phải là một từ hoàn chỉnh trong các ngôn ngữ thông dụng (tiếng Việt, tiếng Anh, tiếng Pháp,...);
đ) Không phải là một dãy ký tự lặp lại có quy luật;
e) Không dựa vào thông tin cá nhân (ngày sinh, số điện thoại,...), tên người, tên địa danh, tên cơ quan hoặc các tên gọi khác.
2. Các tài khoản quản trị hệ thống thông tin của cơ quan (bao gồm tài khoản đăng nhập để quản trị máy chủ, thiết bị mạng, ứng dụng và cơ sở dữ liệu trong hệ thống thông tin) phải được thay đổi mật khẩu định kỳ ít nhất ba (03) tháng một lần.
3. Tài khoản cấp cho người sử dụng để sử dụng các thành phần của hệ thống thông tin phải được thay đổi mật khẩu định kỳ ít nhất sáu (06) tháng một lần.
4. Các hành vi bị nghiêm cấm trong việc sử dụng tài khoản do cơ quan cấp
a) Lưu trữ hoặc gửi mật khẩu các tài khoản trên phương tiện điện tử;
b) Dùng cùng một mật khẩu cho các tài khoản khác nhau để truy cập vào hệ thống thông tin của cơ quan;
c) Dùng mật khẩu trong hệ thống thông tin của cơ quan cho các tài khoản cá nhân;
d) Cho người khác biết mật khẩu (trừ trường hợp Thủ trưởng cơ quan yêu cầu);
đ) Dùng chức năng ghi nhớ mật khẩu của các ứng dụng trên máy tính dùng chung;
e) Sử dụng mật khẩu đã bị đánh cắp hoặc nghi ngờ bị đánh cắp cho tài khoản cũ hoặc các tài khoản khác do cơ quan cấp;
g) Không kịp thời thông báo cho Thủ trưởng cơ quan và cán bộ chuyên trách công nghệ thông tin biết khi nghi ngờ mật khẩu tài khoản của mình bị người khác biết ngoài ý muốn.