Điều 13. Quản lý, sử dụng tài khoản và mật khẩu
1. Mật khẩu của tất cả các tài khoản (ở cả cấp độ quản trị hệ thống và cấp độ người sử dụng) phải tuân thủ đồng thời các yêu cầu sau:
a) Có chứa cả các ký tự chữ in và chữ thường.
b) Có chứa ký tự số, các ký tự dấu câu hoặc các ký tự đặc biệt (!, @, #, ...).
c) Có ít nhất 08 ký tự đối với tài khoản người dùng, ít nhất 15 ký tự đối với tài khoản quản trị hệ thống.
d) Không phải là một từ hoàn chỉnh trong các ngôn ngữ thông dụng (Tiếng Việt, Tiếng Anh, Tiếng Pháp,…).
đ) Không phải là một dãy ký tự lặp lại có quy luật;
e) Không dựa vào thông tin cá nhân (ngày sinh, số điện thoại,…), tên người, tên địa danh, tên cơ quan hoặc các tên gọi khác.
2. Người dùng phải thay đổi mật khẩu ngay lần đầu tiên đăng nhập vào hệ thống và thường xuyên thay đổi mật khẩu ít nhất 03 tháng/01 lần.
3. Tất cả các tài khoản quản trị hệ thống thông tin của cơ quan, đơn vị (bao gồm máy chủ, thiết bị mạng, ứng dụng và cơ sở dữ liệu trong hệ thống thông tin), thường xuyên thay đổi mật khẩu, ít nhất 02 tháng/01 lần.
4. Khi quên mật khẩu hoặc nghi ngờ mật khẩu tài khoản của mình bị người khác biết ngoài ý muốn, phải báo cáo sự việc với thủ trưởng cơ quan và cán bộ chuyên trách CNTT để có phương án xử lý kịp thời; không sử dụng mật khẩu đã bị đánh cắp hoặc nghi ngờ bị đánh cắp cho tài khoản cũ hoặc các tài khoản khác do cơ quan cấp.
5. Các quyết định, thông báo về việc người dùng điều chuyển công tác, thôi việc hoặc nghỉ việc phải được đồng thời chuyển đến cán bộ chuyên trách CNTT, đơn vị chủ trì quản lý hệ thống thông tin để thực hiện điều chỉnh, thu hồi, hủy bỏ các quyền sử dụng của người dùng đó.