【文章內(nèi)容簡(jiǎn)介】 略和恢復(fù)策略，備份策略應(yīng)指明備份數(shù)據(jù)的放置場(chǎng)所、文件命名規(guī)則、介質(zhì)替換頻率和將數(shù)據(jù)離站運(yùn)輸?shù)姆椒ǎ?16。 指定相應(yīng)的負(fù)責(zé)人定期維護(hù)和檢查備份及冗余設(shè)備的狀況，確保需要接入系統(tǒng)時(shí)能夠正常運(yùn)行；216。 根據(jù)備份方式，規(guī)定相應(yīng)設(shè)備的安裝、配置和啟動(dòng)的流程； 安全事件處置216。 所有用戶(hù)均有責(zé)任報(bào)告自己發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件，但任何情況下用戶(hù)均不應(yīng)嘗試驗(yàn)證弱點(diǎn)；216。 制定安全事件報(bào)告和處置管理制度，規(guī)定安全事件的現(xiàn)場(chǎng)處理、事件報(bào)告和后期恢復(fù)的管理職責(zé)；216。 分析信息系統(tǒng)的類(lèi)型、網(wǎng)絡(luò)連接特點(diǎn)和信息系統(tǒng)用戶(hù)特點(diǎn)，了解本系統(tǒng)和同類(lèi)系統(tǒng)已發(fā)生的安全事件，識(shí)別本系統(tǒng)需要防止發(fā)生的安全事件，事件可能來(lái)自攻擊、錯(cuò)誤、故障、事故或?yàn)?zāi)難；216。 根據(jù)國(guó)家相關(guān)管理部門(mén)對(duì)計(jì)算機(jī)安全事件等級(jí)劃分方法，根據(jù)安全事件在本系統(tǒng)產(chǎn)生的影響，將本系統(tǒng)計(jì)算機(jī)安全事件進(jìn)行等級(jí)劃分；216。 記錄并保存所有報(bào)告的安全弱點(diǎn)和可疑事件，分析事件原因，監(jiān)督事態(tài)發(fā)展，采取措施避免安全事件發(fā)生；應(yīng)急預(yù)案管理216。 在統(tǒng)一的應(yīng)急預(yù)案框架下制定不同事件的應(yīng)急預(yù)案，應(yīng)急預(yù)案框架應(yīng)包括啟動(dòng)應(yīng)急預(yù)案的條件、應(yīng)急處理流程、系統(tǒng)恢復(fù)流程和事后教育和培訓(xùn)等內(nèi)容；216。 對(duì)系統(tǒng)相關(guān)的人員進(jìn)行培訓(xùn)使之了解如何及何時(shí)使用應(yīng)急預(yù)案中的控制手段及恢復(fù)策略，對(duì)應(yīng)急預(yù)案的培訓(xùn)至少每年舉辦一次；根據(jù)相關(guān)要求，對(duì)于等級(jí)保護(hù)2級(jí)和3級(jí)系統(tǒng)，一年進(jìn)行一次差距評(píng)估，通過(guò)差距評(píng)估，獲取最新的安全薄弱環(huán)節(jié)，并通過(guò)后續(xù)工作進(jìn)行安全整改建設(shè)；對(duì)于未定級(jí)的系統(tǒng)，需進(jìn)行定級(jí)備案，差距測(cè)評(píng)，安全整改等相關(guān)工作。根據(jù)等級(jí)保護(hù)標(biāo)準(zhǔn)以及廣東公安廳發(fā)文要求，等級(jí)保護(hù)主要建設(shè)流程如下：216。 等級(jí)保護(hù)建設(shè)目標(biāo)216。 等級(jí)保護(hù)建設(shè)框架信息系統(tǒng)等級(jí)保護(hù)建設(shè)整體流程框架圖如下:等級(jí)保護(hù)評(píng)估是在信息系統(tǒng)定級(jí)以后,根據(jù)信息系統(tǒng)等保級(jí)別進(jìn)行風(fēng)險(xiǎn)評(píng)估,找出與等保標(biāo)準(zhǔn)的差距,進(jìn)行安全規(guī)劃設(shè)計(jì),即完成等級(jí)保護(hù)整改方案。216。 等級(jí)保護(hù)評(píng)估流程l 評(píng)估指標(biāo)選擇根據(jù)信息系統(tǒng)的安全等級(jí)，從等級(jí)保護(hù)基本要求的指標(biāo)中選擇和組合評(píng)估用的安全指標(biāo)，形成一套信息系統(tǒng)的評(píng)估指標(biāo)，作為評(píng)估的依據(jù)；將具體評(píng)估對(duì)象和評(píng)估指標(biāo)進(jìn)行結(jié)合，形成評(píng)估使用的評(píng)估方案。l 等級(jí)保護(hù)基本要求《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》規(guī)定了信息系統(tǒng)安全等級(jí)保護(hù)的基本要求，包括基本技術(shù)要求和基本管理要求，適用于不同安全等級(jí)的信息系統(tǒng)的安全保護(hù)。技術(shù)類(lèi)安全要求通常與信息系統(tǒng)提供的技術(shù)安全機(jī)制有關(guān)，通過(guò)在信息系統(tǒng)中部署軟硬件并正確的配置其安全功能來(lái)實(shí)現(xiàn)；管理類(lèi)安全要求通常與信息系統(tǒng)中各種角色參與的活動(dòng)有關(guān)，主要是通過(guò)控制各種角色的活動(dòng)，從政策、制度、規(guī)范、流程以及記錄等方面做出規(guī)定來(lái)實(shí)現(xiàn)。不同安全等級(jí)的信息系統(tǒng)，其對(duì)業(yè)務(wù)信息的安全性要求和業(yè)務(wù)服務(wù)的連續(xù)性要求是有差異的；即使相同安全等級(jí)的信息系統(tǒng)，其對(duì)業(yè)務(wù)信息的安全性要求和業(yè)務(wù)服務(wù)的連續(xù)性要求也有差異。因此，對(duì)某一個(gè)定級(jí)后的信息系統(tǒng)的保護(hù)要求可以有多種組合。對(duì)基本要求進(jìn)行選擇的過(guò)程：基本要求的選擇由信息系統(tǒng)的安全等級(jí)確定，基本要求包括技術(shù)要求和管理要求。二級(jí)系統(tǒng)應(yīng)該選擇建議。整改建議包括針對(duì)每項(xiàng)安全弱點(diǎn)的有效建議措施，以及從整個(gè)系統(tǒng)角度科學(xué)的、統(tǒng)籌安排改進(jìn)措施，確保最小的投入達(dá)到整改目標(biāo)。通過(guò)安全技術(shù)運(yùn)維服務(wù)工作，充分發(fā)揮各類(lèi)安全設(shè)備的價(jià)值，并通過(guò)專(zhuān)業(yè)技術(shù)人員的服務(wù)工作，完善整個(gè)安全技術(shù)保障工作。安全技術(shù)運(yùn)維服務(wù)工作包括每周的安全設(shè)備日志分析與處理，針對(duì)所有it設(shè)備每月的漏洞掃描工作，針對(duì)網(wǎng)上辦事大廳業(yè)務(wù)、網(wǎng)站業(yè)務(wù)、醫(yī)保業(yè)務(wù)、社保業(yè)務(wù)、勞動(dòng)就業(yè)業(yè)務(wù)等業(yè)務(wù)系統(tǒng)每季度的滲透測(cè)試工作，針對(duì)新業(yè)務(wù)系統(tǒng)、新系統(tǒng)模塊或新it設(shè)備的上線(xiàn)安全評(píng)估工作、針對(duì)信息系統(tǒng)的7*24小時(shí)應(yīng)急響應(yīng)服務(wù)工作、針對(duì)信息安全預(yù)案的修編及年度演練工作、針對(duì)設(shè)備自身脆弱性的定期安全修補(bǔ)工作等。安全技術(shù)運(yùn)維過(guò)程中，需要用到相關(guān)的安全工具。為保證安全工具的先進(jìn)性，以及避免因?yàn)楣ぞ叩氖褂枚a(chǎn)法律糾紛等，中標(biāo)人需要承諾安全服務(wù)過(guò)程中提供符合要求的安全工具，產(chǎn)權(quán)仍屬于中標(biāo)人?！锇踩?wù)過(guò)程中提供使用的所有工具必須是國(guó)產(chǎn)產(chǎn)品。本項(xiàng)目使用的安全工具具體要求如下：對(duì)招標(biāo)人所有服務(wù)器操作系統(tǒng)、客戶(hù)端和網(wǎng)絡(luò)及安全設(shè)備進(jìn)行安全漏洞掃描，采用的漏洞掃描工具應(yīng)滿(mǎn)足以下要求：(1)“綜合安全服務(wù)”實(shí)施團(tuán)隊(duì)?wèi)?yīng)具備多年的漏洞研究經(jīng)驗(yàn)，具備獨(dú)立漏洞發(fā)掘的能力；(2)可掃描的漏洞應(yīng)不小于3600；(3)★漏洞掃描工具支持對(duì)各種web應(yīng)用系統(tǒng)的掃描，支持檢測(cè)sql注入漏洞、xss攻擊漏洞、cgi漏洞、網(wǎng)頁(yè)掛馬、關(guān)鍵字檢測(cè)、網(wǎng)站備案信息、敏感信息泄露等。提供產(chǎn)品截圖證明。(4)★漏洞掃描工具支持對(duì)主流數(shù)據(jù)庫(kù)的識(shí)別與掃描，包括：oracle、sybase、sql server、dbmysql等，能夠掃描的數(shù)據(jù)庫(kù)漏洞掃描方法不小于580種。提供產(chǎn)品截圖證明。(5)掃描報(bào)告中的漏洞應(yīng)具備統(tǒng)一的cvss國(guó)際標(biāo)準(zhǔn)評(píng)分，以準(zhǔn)確衡量漏洞的危險(xiǎn)級(jí)別，為漏洞修補(bǔ)工作的優(yōu)先級(jí)提供指導(dǎo)；(6)產(chǎn)品具有中華人民共和國(guó)公安部頒發(fā)的《計(jì)算機(jī)信息系統(tǒng)安全專(zhuān)用產(chǎn)品銷(xiāo)售許可證》，要求為增強(qiáng)型，投標(biāo)時(shí)提供證書(shū)復(fù)印件；(7)★投標(biāo)人必須承諾供貨時(shí)提供該產(chǎn)品針對(duì)本項(xiàng)目的原廠授權(quán)證明函（需加蓋原廠商公章）。對(duì)招標(biāo)人it機(jī)房設(shè)備的別合法終端，并基于此設(shè)定無(wú)線(xiàn)準(zhǔn)入策略，通過(guò)射頻信號(hào)阻止非法ap、終端的接入。(7)無(wú)線(xiàn)入侵防御：支持無(wú)線(xiàn)掃描、欺騙、dos、破解等常見(jiàn)無(wú)線(xiàn)網(wǎng)絡(luò)攻擊行為的檢測(cè)、告警、阻斷功能，同時(shí)支持多種類(lèi)型流氓ap的檢測(cè)與阻斷。提供產(chǎn)品截圖證明。(8)支持無(wú)線(xiàn)網(wǎng)絡(luò)拓?fù)渥R(shí)別和呈現(xiàn)。提供產(chǎn)品截圖證明。(9)應(yīng)滿(mǎn)足自身安全性需求，設(shè)備對(duì)外不可見(jiàn)，且不能介入用戶(hù)業(yè)務(wù)流程。(10)★投標(biāo)人必須承諾供貨時(shí)提供該產(chǎn)品針對(duì)本項(xiàng)目的原廠授權(quán)證明函（需加蓋原廠商公章）對(duì)招標(biāo)人四個(gè)機(jī)房及網(wǎng)絡(luò)系統(tǒng)進(jìn)行實(shí)時(shí)安全監(jiān)控，并結(jié)合安全威脅與安全脆弱性對(duì)全局安全風(fēng)險(xiǎn)進(jìn)行預(yù)警，便于信息安全專(zhuān)家迅速在安全事件的萌芽狀態(tài)進(jìn)行處理，消除安全隱患，確保網(wǎng)絡(luò)安全、平穩(wěn)運(yùn)行。安全態(tài)勢(shì)監(jiān)控及預(yù)警平臺(tái)須至少滿(mǎn)足以下要求：(1)具有《中國(guó)信息安全測(cè)評(píng)中心信息技術(shù)產(chǎn)品安全測(cè)評(píng)證書(shū)》— eal3，需提供證書(shū)復(fù)印件(2)具有《計(jì)算機(jī)軟件著作權(quán)登記證書(shū)》，需提供證書(shū)復(fù)印件；(3)采用業(yè)界主流的b/s方式，不需要安裝客戶(hù)端；(4)采用基于瀏覽器的用戶(hù)界面，至少支持ie與firefox。為了適應(yīng)不同用途，用戶(hù)可以對(duì)界面顏色進(jìn)行選擇調(diào)整；(5)具備很強(qiáng)的擴(kuò)展性，能夠方便的支持現(xiàn)有及未來(lái)的各類(lèi)設(shè)備；對(duì)新設(shè)備的定制支持時(shí)間小于5個(gè)工作日；(6)事件處理性能可以達(dá)到平均每秒15000條事件；(7)簡(jiǎn)單部署，無(wú)需安裝任何其他軟件和組件，用戶(hù)只需要安裝管理中心即可實(shí)現(xiàn)對(duì)全網(wǎng)資源的安全管理；(8)在綜合展示界面中能夠顯示系統(tǒng)的基本管理信息，包括當(dāng)前告警狀態(tài)、最近告警信息、資產(chǎn)告警排行、事件趨勢(shì)、監(jiān)控對(duì)象概要信息等。提供產(chǎn)品截圖證明。；(9)系統(tǒng)提供基于資產(chǎn)的拓?fù)湟晥D，可以顯示資產(chǎn)之間的邏輯連接關(guān)系。在資產(chǎn)拓?fù)渖线x擇每個(gè)資產(chǎn)節(jié)點(diǎn)，可查看每個(gè)資產(chǎn)的事件信息、告警信息、漏洞信息、風(fēng)險(xiǎn)信息，并且支持向下鉆取，直接進(jìn)入事件列表、關(guān)聯(lián)告警列表。提供產(chǎn)品截圖證明；(10)支持多事件關(guān)聯(lián)，對(duì)不同來(lái)源的安全事件進(jìn)行復(fù)雜的相關(guān)性分析；(11)★投標(biāo)人必須承諾供貨時(shí)提供該產(chǎn)品針對(duì)本項(xiàng)目的原廠授權(quán)證明函（需加蓋原廠商公章）。針對(duì)招標(biāo)人面臨的復(fù)雜安全局勢(shì)，避免當(dāng)前基于特征匹配檢測(cè)技術(shù)的局限性，需要加強(qiáng)技術(shù)手段檢測(cè)基于未知漏洞或可逃過(guò)檢測(cè)的已知漏洞觸發(fā)的攻擊、檢測(cè)未知木馬的行為、發(fā)現(xiàn)不可信的加密信道、apt攻擊等。提供的惡意代碼檢測(cè)系統(tǒng)至少滿(mǎn)足以下要求：(1)系統(tǒng)硬件尺寸：2u上架設(shè)備。(2)千兆捕包電口（ge）≥ 6個(gè)。(3)旁路部署。設(shè)備支持通過(guò)流量鏡像方式旁路部署的能力。(4)0day攻擊檢測(cè)?？梢詫?duì)0day攻擊進(jìn)行檢測(cè)，并在產(chǎn)品界面中中明確表明該攻擊是0day攻擊還是nday攻擊。提供產(chǎn)品截圖證明。(5)未知惡意代碼檢測(cè)。具備對(duì)未知惡意代碼具備檢測(cè)能力，漏報(bào)率不高于10%(6)基于行為的攻擊檢測(cè)。具備通過(guò)分析攻擊行為對(duì)攻擊進(jìn)行檢測(cè)的能力。(7)支持apt攻擊行為記錄。支持對(duì)apt攻擊關(guān)鍵步驟的具體攻擊行為進(jìn)行記錄的能力。提供產(chǎn)品截圖證明。(8)可區(qū)分0day攻擊與nday攻擊。可以明確區(qū)分出0day攻擊與nday攻擊，并在報(bào)警界面中進(jìn)行展示。提供產(chǎn)品截圖證明。(9)★產(chǎn)品具有中華人民共和國(guó)公安部頒發(fā)的《計(jì)算機(jī)信息系統(tǒng)安全專(zhuān)用產(chǎn)品銷(xiāo)售許可證》，投標(biāo)時(shí)提供證書(shū)復(fù)印件。(10)★投標(biāo)人必須承諾供貨時(shí)提供該產(chǎn)品針對(duì)本項(xiàng)目的原廠授權(quán)證明函（需加蓋原廠商公章）。、宣傳培訓(xùn)及安全專(zhuān)家服務(wù)通過(guò)各種安全咨詢(xún)服務(wù)，協(xié)助中心工作人員加強(qiáng)信息安全建設(shè)，提高整個(gè)信息系統(tǒng)運(yùn)維過(guò)程中的安全可控性，協(xié)調(diào)各信息安全項(xiàng)目按質(zhì)按量實(shí)施，確保中心信息安全建設(shè)不斷積累、逐步完善、達(dá)到更高的安全保障能力。針對(duì)普通工作人員，進(jìn)行安全宣傳。包括制作信息安全宣傳的flash屏幕保護(hù)等。針對(duì)it工作人員，提供安全培訓(xùn)。包括安全管理體系的設(shè)計(jì)、安全管理的執(zhí)行，安全意識(shí)、安全知識(shí)等。針對(duì)普通工作人員，提供安全意識(shí)培訓(xùn)。提供2名安全專(zhuān)家5*8小時(shí)駐場(chǎng)服務(wù)（節(jié)假日除外）。根據(jù)上級(jí)部門(mén)具體安全要求，落實(shí)信息安全專(zhuān)項(xiàng)檢查整改，并提交相關(guān)安全整改報(bào)告。216。 單位上級(jí)部門(mén)交辦安全自查與整改根據(jù)廣東省社會(huì)保險(xiǎn)基金管理局、中華人民共和國(guó)人力資源和社會(huì)保障部等上級(jí)部門(mén)的安全要求，落實(shí)信息安全專(zhuān)項(xiàng)檢查工作，包括重要業(yè)務(wù)系統(tǒng)安全檢測(cè)工作、重要業(yè)務(wù)系統(tǒng)安全掃描工作、重要業(yè)務(wù)系統(tǒng)基線(xiàn)檢查工作、重要業(yè)務(wù)系統(tǒng)應(yīng)用安全檢查工作等，并針對(duì)各項(xiàng)檢查工作中發(fā)現(xiàn)的問(wèn)題進(jìn)行整改，提交相關(guān)安全整改報(bào)告等工作。216。 行業(yè)監(jiān)管部門(mén)交辦安全自查與整改根據(jù)行業(yè)監(jiān)管部門(mén)的安全要求，落實(shí)各項(xiàng)信息安全防護(hù)工作。依據(jù)行業(yè)安全標(biāo)準(zhǔn)相關(guān)要求，及時(shí)進(jìn)行各項(xiàng)安全自查與整改工作。如安全檢測(cè)工作、風(fēng)險(xiǎn)評(píng)估、安全管理體系評(píng)估等，并針對(duì)各項(xiàng)安全自查工作中發(fā)現(xiàn)的問(wèn)題進(jìn)行整改等。216。 其它監(jiān)管部門(mén)交辦安全自查與整改參照網(wǎng)監(jiān)等監(jiān)管部門(mén)的安全要求，依據(jù)信息系統(tǒng)等級(jí)保護(hù)等標(biāo)準(zhǔn)要求和電子政務(wù)安全要求，及時(shí)進(jìn)行中心各項(xiàng)核心業(yè)務(wù)系統(tǒng)的安全自查與整改工作。如信息系統(tǒng)等級(jí)保護(hù)定級(jí)、信息系統(tǒng)等級(jí)保護(hù)測(cè)評(píng)、信息系統(tǒng)等級(jí)保護(hù)安全建設(shè)等工作的開(kāi)展實(shí)施。社保中心負(fù)責(zé)整個(gè)業(yè)務(wù)系統(tǒng)的運(yùn)作，包括開(kāi)發(fā)、實(shí)施、維護(hù)等，涉及的因素多、對(duì)象廣、流程復(fù)雜，對(duì)信息安全管理的要求較高，需要建立較為完善的信息安全管理體系并執(zhí)行，才能發(fā)揮安全技術(shù)措施的效果，確保持續(xù)的整體安全保障能力。通過(guò)安全管理體系建設(shè)，在滿(mǎn)足等級(jí)保護(hù)三級(jí)安全管理的基礎(chǔ)上，實(shí)現(xiàn)以下層次化、體系化的安全管理建設(shè)內(nèi)容。為社保中心建立四階文件組成的安全管理文件體系。216。 如果任何潛在的危險(xiǎn)字符必須被作為輸入，需要確保執(zhí)行了額外的控制。例如：輸出編碼、特定的安全 api等。部分常見(jiàn)的危險(xiǎn)字符包括： “ 39。 %()amp。 + 39。 ”。216。 如果使用的標(biāo)準(zhǔn)驗(yàn)證規(guī)則無(wú)法驗(yàn)證下面的輸入，那么它們需要被單獨(dú)驗(yàn)證：l l l 驗(yàn)證空字節(jié)(%00)；驗(yàn)證換行符(%0d, %0a, r, n)；驗(yàn)證路徑替代字符“點(diǎn)點(diǎn)斜杠”（../或..）。如果支持 utf8 擴(kuò)展字符集編碼，驗(yàn)證替代字符： %c0%ae%c0%ae/(使用規(guī)范化驗(yàn)證雙編碼或其他類(lèi)型的編碼攻擊)。輸出編碼216。 在可信系統(tǒng)（例如：服務(wù)器）上執(zhí)行所有的編碼。216。 為每一種輸出編碼方法采用一個(gè)標(biāo)準(zhǔn)的、已通過(guò)測(cè)試的規(guī)則。通過(guò)語(yǔ)義輸出編碼方式，對(duì)所有返回到客戶(hù)端并來(lái)自于應(yīng)用程序信任邊界之外的數(shù)據(jù)進(jìn)行編碼。216。 針對(duì) sql、xml 和 ldap 查詢(xún)，語(yǔ)義凈化所有不可信數(shù)據(jù)的輸出。216。 對(duì)于操作系統(tǒng)命令，凈化所有不可信數(shù)據(jù)輸出。身份驗(yàn)證和密碼管理216。 除了特定設(shè)為“公開(kāi)”的內(nèi)容以外，對(duì)所有的網(wǎng)頁(yè)和資源均要求身份驗(yàn)證。216。 所有的身份驗(yàn)證過(guò)程必須在可信系統(tǒng)（例如：服務(wù)器）上執(zhí)行。216。 在任何可能的情況下，建立并使用標(biāo)準(zhǔn)的、已通過(guò)測(cè)試的身份驗(yàn)證服務(wù)。216。 為所有身份驗(yàn)證控制使用一個(gè)集中實(shí)現(xiàn)的方法。216。 將身份驗(yàn)證邏輯從被請(qǐng)求的資源中隔離開(kāi)，并重定向到集中的身份驗(yàn)證控制。216。 所有的身份驗(yàn)證控制應(yīng)當(dāng)安全的處理未成功的身份驗(yàn)證。所有的權(quán)限管理功能至少應(yīng)當(dāng)具有和主要身份驗(yàn)證機(jī)制一樣的安全性。216。 如果應(yīng)用程序管理的憑證被存儲(chǔ)，應(yīng)當(dāng)保證只保存通過(guò)使用強(qiáng)加密單向 salted 哈希算法得到的密碼，并且只有應(yīng)用程序具有對(duì)保存密碼和密鑰的表/文件的寫(xiě)權(quán)限（禁止使用 md5 算法，該算法不夠安全）。216。 密碼哈希必須在可信系統(tǒng)（例如：服務(wù)器）上執(zhí)行。216。 只有當(dāng)所有的數(shù)據(jù)輸入以后，才開(kāi)始對(duì)身份驗(yàn)證數(shù)據(jù)進(jìn)行驗(yàn)證，特別是對(duì)連續(xù)身份驗(yàn)證機(jī)制。216。 身份驗(yàn)證的失敗提示信息應(yīng)當(dāng)避免過(guò)于明確。例如：可以使用“用戶(hù)名和/或密碼錯(cuò)誤”，而不要使用“用戶(hù)名錯(cuò)誤”或者“密碼錯(cuò)誤”。錯(cuò)誤提示信息在顯示和源代碼中應(yīng)保持一致。216。 涉及敏感信息或功能的外部系統(tǒng)連接需要使用身份驗(yàn)證。216。 用于訪(fǎng)問(wèn)應(yīng)用程序以外服務(wù)的身份驗(yàn)證憑據(jù)信息應(yīng)當(dāng)加密，并存儲(chǔ)在一個(gè)可信系統(tǒng)（例如：服務(wù)器）中受到保護(hù)的地方。216。 只使用 post 請(qǐng)求傳輸身份驗(yàn)證的憑據(jù)信息。216。 非臨時(shí)密碼只在加密連接中發(fā)送或作為加密的數(shù)據(jù)216。 通過(guò)規(guī)則加強(qiáng)密碼復(fù)雜度的要求（例如：要求使用字母、數(shù)字和/或特殊符號(hào)）。216。 通過(guò)規(guī)則加強(qiáng)密碼長(zhǎng)度要求。常用使用 816 個(gè)字符長(zhǎng)度。216。 輸入的密碼應(yīng)當(dāng)在用戶(hù)的屏幕上非明文顯示。216。 當(dāng)連續(xù)多次登錄失敗后（例如：通常情況下是 5 次），應(yīng)強(qiáng)制鎖定賬戶(hù)。賬戶(hù)鎖定的時(shí)間必須足夠長(zhǎng)，以阻止暴力攻擊猜測(cè)登錄信息，但不能長(zhǎng)到允許執(zhí)行拒絕服務(wù)攻擊。216。 密碼重設(shè)和更改操作需要類(lèi)似于賬戶(hù)創(chuàng)建和身份驗(yàn)證的同樣安全控制等級(jí)。216。 密碼重設(shè)問(wèn)題應(yīng)當(dāng)支持盡可能隨機(jī)的提問(wèn)（通過(guò)注冊(cè)賬號(hào)環(huán)節(jié)收集用戶(hù)填寫(xiě)的提問(wèn)信息）。216。 如果使用基于郵件的密碼重設(shè)，只將臨時(shí)鏈接或密碼發(fā)送到預(yù)先注冊(cè)的郵件地址。216。 臨時(shí)密碼和鏈接應(yīng)當(dāng)有一個(gè)短暫的有效期。216。 當(dāng)再次使用臨時(shí)密碼時(shí)，強(qiáng)制修改臨時(shí)密碼。216。 阻止密碼重復(fù)使用。216。 密碼在被更改前應(yīng)當(dāng)至少使用了一天，以阻止密碼重用攻擊。216。 強(qiáng)制定期更改密碼。重要系統(tǒng)或賬號(hào)需要更頻繁的更改。更改時(shí)間周期必須進(jìn)行明確。216。 為密碼填寫(xiě)框禁用“記住密碼”功能。216。 用戶(hù)賬號(hào)的上一次使用信息（