Điều 13. Quy định quản lý chính sách thiết lập và quản lý mật khẩu
1. Lãnh đạo đơn vị vận hành có trách nhiệm tiếp nhận mật khẩu quản trị hệ thống sau khi hệ thống được bàn giao và đưa vào sử dụng; sau đó tiến hành bàn giao cho cán bộ quản trị viên hệ thống có biên bản kèm theo, lưu vào nơi an toàn. Các tài liệu liên quan đến mật khẩu được bảo quản ở chế độ “mật”.
2. Sau khi tiếp nhận, quản trị viên hệ thống phải thực hiện đổi tài khoản, mật khẩu trong vòng 01 ngày. Việc đổi mật khẩu cán bộ quản trị viên hệ thống phải tuân thủ theo quy định, hướng dẫn về mật khẩu an toàn.
3. Mật khẩu phải bảo đảm độ phức tạp về độ dài, nội dung và thời gian sử dụng
a) Độ dài của mật khẩu:
- Đối với mật khẩu của người sử dụng (dùng để đăng nhập sử dụng các hệ thống thông tin dùng chung, các ứng dụng chuyên ngành): Tối thiểu là 8 ký tự.
- Đối với mật khẩu quản trị hệ thống (sử dụng cho quản trị các hệ thống mạng, bảo mật, máy chủ, ứng dụng dùng chung): Tối thiểu là 12 ký tự.
b) Nội dung mật khẩu:
- Không bao gồm các từ dễ nhớ như tên, ngày sinh, số điện thoại.
- Không được đặt theo ký tự chữ cái, ký tự chữ số tuần tự hoặc một dãy các ký tự giống nhau, ví dụ: ABCDEFGH, 98765432 hoặc @@@@@@@@.
- Đối với mật khẩu quản trị hệ thống phải kết hợp các loại ký tự sau: Chữ cái in thường (a, b, c), chữ cái in hoa (A, B, C), ký tự số (1, 2, 3) và các ký tự đặc biệt (!, @, #).
c) Thời gian sử dụng mật khẩu:
- Đối với mật khẩu của người sử dụng: Được thiết lập trên hệ thống định kỳ 3 tháng thay đổi một lần.
- Đối với mật khẩu của người quản trị hệ thống: Được thiết lập trên hệ thống định kỳ phải thay đổi ít nhất 03 tháng một lần.
Trường hợp có thay đổi về nhân sự hoặc yêu cầu tăng cường bảo mật về an toàn, an ninh thông tin thì lãnh đạo đơn vị vận hành Trung tâm dữ liệu quyết định việc thay đổi toàn bộ mật khẩu quản trị của Trung tâm dữ liệu.
d) Quy định sử dụng và lưu trữ mật khẩu:
- Người sử dụng phải thay đổi mật khẩu ngay từ lần đăng nhập đầu tiên.
- Không được lưu trữ mật khẩu trên máy tính cá nhân, các thiết bị điện tử.
- Không được tiết lộ mật khẩu của cá nhân, tổ chức; trường hợp bàn giao tài khoản truy cập ứng dụng phải có biên bản bàn giao.
- Phải tiến hành thay đổi mật khẩu ngay khi nghi ngờ bị lộ, lọt thông tin mật khẩu.
- Mật khẩu mới thay đổi phải đảm bảo không trùng với những mật khẩu đã từng sử dụng trước đó.
- Các tài liệu liên quan đến mật khẩu được bảo quản ở chế độ “mật”.