您的組織再也承擔不起將密碼安全留給個別團隊成員自行決定的風險。儘管出於好意，人類仍會預設使用方便但具有風險的習慣，例如將憑證儲存在瀏覽器、試算表或便籤中。

強大的密碼政策可為整個組織內密碼的建立、儲存、共享、審查和保護方式建立明確且可執行的標準。現代化政策能降低基於憑證的風險、支援合規性，並為跨系統、團隊和工作流程的存取安全帶來一致性。

這是企業無法忽視的問題。Verizon 的 2025 年資料外洩調查報告發現，在已確認的資料外洩事件中，憑證濫用佔主要初始攻擊向量的 22%。憑證安全性不足的代價還體現在營運中斷、法規風險、聲譽受損，以及團隊在爭分奪秒地復原遺失或遭入侵的存取權限時所導致的長時間停機。

除了制定密碼政策外，您的組織還需要使安全習慣易於採用的系統和工具。單靠規則不足以確保營運安全，因為只要存在摩擦，即使是出於好意的專業人員也會走捷徑。目標是讓密碼衛生管理成為阻力最小的路徑。

下方的密碼政策範本可以幫助您的企業立足於目前的最佳實踐和符合 NIST 標準的指引。對於需要比一般建議更實用的組織，您可以將其改編為內部政策、安全手冊或治理控制規範。

密碼政策範本（範例）

章節政策要求（範例用語）實作注意事項
範圍本政策適用於所有使用基於密碼的驗證來存取公司系統或資料的員工、承包商、供應商和第三方。它涵蓋所有系統，包括 SaaS 平台、雲端服務、內部工具、端點和管理環境。確保沒有任何系統或使用者群組落在範圍之外。請包含供應商和共享環境。
使用者責任所有使用者必須依照本政策建立、儲存及管理密碼。使用者不得共享憑證、重複使用密碼或將其儲存在未經核准的位置。若懷疑憑證遭到入侵，必須立即報告。納入入職培訓和安全培訓中。
管理責任管理者必須確保及時溝通入職、角色變更和離職資訊，以便進行正確的存取控制和憑證更新。與人力資源工作流程掛鉤。
IT 與安全責任IT 和安全團隊負責執行此政策、核准密碼管理工具、監控合規性，並應對與憑證相關的事件。在內部指派明確的所有權。
密碼長度密碼必須符合以下最小長度：15 個字元（標準帳號）、16 個字元（特權帳號）以及 20 個字元（共享或服務帳號，在可行的情況下）。系統應支援長密碼（理想情況下最多 64 個字元）。
密碼建立必須使用組織核准的 商務密碼管理程式 隨機產生密碼。不允許使用者根據規律、個人資料或可預測的結構建立密碼。Proton Pass for Business 可以自動建立強大的隨機密碼。
密碼唯一性每個帳號、系統和服務的密碼必須是唯一的。嚴禁在工作系統、個人帳號或客戶環境之間重複使用。透過工具和培訓來執行，而不僅僅依靠記憶。
密碼強度測試密碼不得過於簡單、重複使用或先前已在已知的資料外洩事件中洩露。在可能的情況下，使用支援已外洩密碼偵測功能的系統。
禁止行為禁止以下行為：重複使用密碼；使用個人或公司相關詞彙；可預測的規律；以純文字儲存密碼；透過電子郵件、聊天或筆記共享憑證。保持本節內容明確，以消除歧義。
多重因素驗證 (MFA)必須在所有支援 MFA 的系統上啟用該功能，特別是針對電子郵件、身分提供者、遠端存取、財務系統、人力資源平台和管理帳號。優先處理高風險系統。
密碼儲存所有憑證只能儲存在組織核准的密碼管理程式中。除非經過集中管理和核准，否則不允許儲存在瀏覽器或本機工具中。Proton Pass for Business 提供具有受控存取權限的加密保管庫。
禁止的儲存方法密碼不得儲存在試算表、文件、電子郵件草稿、工單系統、共享磁碟或個人筆記中。定期對這些內容進行稽核，因為它們非常常見。
密碼共享密碼不得透過非正式管道共享。若需要共享，必須透過支援存取控制、稽核和撤銷功能的核准安全系統進行。Proton Pass for Business 可以在不洩露密碼本身的情況下，實現安全的憑證共享。
共享帳號共享帳號或服務帳號憑證必須有指定的負責人、受限的存取權限、安全的儲存空間並定期進行檢查。當人員變動或疑似遭受入侵時，必須更換憑證。盡可能優先使用個人帳號。
教育訓練與意識所有使用者必須在入職時及之後定期完成密碼與憑證安全訓練。教育訓練必須包含密碼管理、MFA 使用、網路釣魚意識以及事件回報。保持訓練內容實用且更新至最新狀態。
事件應變任何疑似或確認的憑證入侵都必須立即回報。受影響的憑證必須重設、撤銷工作階段，並重新審核存取權限。所有事件都必須記錄存檔。應變速度比追求完美更重要。
回報規範使用者必須透過指定的回報頻道通報疑似憑證外洩的情況。基於善意的回報將不會受到懲戒處分。鼓勵盡早回報。
監控與日誌記錄在可行的情況下，驗證活動必須記錄至日誌，包括登入嘗試、憑證變更和特權存取。應定期檢查日誌是否有異常情況。優先關注高風險系統。
離職與存取權限撤銷一旦職務變動或終止合約，必須立即移除存取權限。在必要時，必須重新審查並更換共享憑證。這點至關重要，因為這是組織最常出現漏洞的環節之一。
符合合規性本政策支援組織符合公認的架構，例如 NIST 和 ISO 27001 的存取控制要求。對稽核與治理很有幫助。
執行未能遵守本政策可能會導致需要重新訓練、存取限制，或視嚴重程度採取懲戒行動。一貫套用。
審核週期本政策必須至少每年審核一次，或在系統、風險或監管要求發生重大變化後進行審核。指定負責更新的負責人。

什麼是密碼政策？定義、用途與目標

密碼政策是一套正式的規則，定義了在組織系統中如何建立、管理、儲存和保護憑證。

密碼政策的概念聽起來很簡單，但影響範圍卻很廣。這不僅僅是要求針對商務憑證使用商務密碼管理程式。在現代組織中，密碼政策是身分安全的核心基礎。

如果沒有一套統一的政策來規範跨系統的憑證處理，密碼慣例往往會變得支離破碎，組織也會逐漸失去對存取管理實際運作情況的掌握。

強大密碼政策的用途

定義明確的密碼政策透過設定明確的憑證處理規範，來解決組織內部的安全漏洞。它為密碼的建立、儲存、共享和生命週期管理建立了一致的標準。

密碼政策在治理與合規方面也扮演著重要角色。諸如 NIST 數位身分指南(新視窗)等安全架構以及 ISO 27001(新視窗) 等標準，都強調了強大驗證實務作為現代存取控制一部分的重要性。

處理敏感資料（尤其是個人資訊、財務記錄或專有商務資訊）的組織，越來越需要證明其系統的存取是受到正式文件記錄的安全控制所規範。

透過密碼政策，您的組織可以定義建立、儲存、共享及管理密碼的最低要求，這些密碼用於存取公司的系統、服務、裝置、應用程式和資料。

密碼政策應該具備什麼功能？

密碼政策文件旨在：

  • 減少與密碼相關的安全事件
  • 防止密碼重複使用和不安全的儲存習慣
  • 規範安全的密碼建立與管理實務
  • 支援員工、供應商和系統之間的安全存取
  • 強化稽核就緒程度與存取治理
  • 定義針對憑證遭入侵後的應變程序

總而言之，這些目標有助於確保將密碼安全視為作業標準，而非僅是口頭上的期待。

密碼政策：範圍、角色與職責

強大的密碼政策應明確說明兩件事。首先，應清楚定義哪些使用者、系統和資料必須遵守該政策。

其次，應釐清誰負責在組織內部遵循、執行及維護這些標準。

定義密碼政策的範圍

在現代組織中，存取權限鮮少僅限於內部網路的全職員工。承包商、供應商和服務提供者可能都需要存取公司系統，因此該政策應延伸至所有透過密碼驗證與公司系統或資料互動的人員。

該政策也應套用於整個技術環境，包括：

  • 雲端平台
  • SaaS 工具
  • 內部系統
  • 開發環境
  • 管理控制台
  • 共享營運帳號

這非常重要，因為攻擊者在尋找進入點時，很少會區分主要和次要系統。

在密碼政策中定義角色與職責

如果沒有明確的所有權，密碼管理就會變得支離破碎。員工會認為 IT 會自動處理安全問題，而 IT 則認為使用者會獨立遵循最佳做法。有效的憑證安全需要整個組織的協調。

雖然員工和承包商在日常與系統互動時負責維護密碼安全，但管理者則負責監督入職、角色變更和離職期間的存取治理。IT 和安全團隊將負責實施技術控制和監控合規性。系統擁有者也將確保在其管理的應用程式和環境中執行標準。

關於最小密碼長度和熵要求的密碼政策指南

密碼長度是決定憑證強度最重要的因素之一。較長的密碼會大幅增加攻擊者在進行暴力破解攻擊時需要測試的可能組合數量。

事實上，NIST 建議(新視窗)優先考慮密碼長度，而非嚴格的組成規則。現代政策與其強迫使用者包含符號、數字和正楷字母的特定組合，不如專注於確保密碼夠長，並針對已知的外洩憑證進行篩選。

因此，組織也應確保其系統在技術可行的情況下，支援更長、更複雜的密碼。這樣做能讓安全團隊隨時間採用更強大的憑證標準，並確保您的組織準備好滿足未來不斷變化的安全要求。

強大的密碼應符合或超過以下關鍵要求：

  • 足夠的長度以抵禦暴力破解和自動破解嘗試
  • 單一帳號或服務專用，防止跨系統重複使用憑證
  • 難以猜測，避免個人資訊、公司相關字眼或可預測的模式
  • 隨機或高度不可預測，理想情況下由核可的密碼管理程式產生
  • 未曾出現在已知的資料外洩事件中，也不在常見的密碼清單中

請注意，基於姓名、生日、公司術語或簡單鍵盤模式的密碼，無論長度如何，通常都可以使用自動化密碼破解工具快速破解。請參閱我們針對個人和企業提供的強密碼要求詳細指南。

密碼隨機性與複雜度

現代安全框架建議隨機產生密碼，而非要求使用者手動編造。由核可的密碼管理工具產生的隨機密碼提供了更強大的保護，因為它們避免了可預測的模式，且可以設定為難以記憶的長度。

例如，您可以使用 Proton Pass 內建的安全密碼產生器和安全憑證管理實踐。這些工具能共同幫助產生強大、不可預測的密碼，同時解決圍繞密碼儲存空間、共享和生命週期管理的常見挑戰。

密碼政策中可包含以下最低要求，以阻止使用弱密碼或重複使用的密碼：

  • 標準使用者帳號密碼長度必須至少為 15 個字元。
  • 特權或管理員帳號密碼長度必須至少為 16 個字元。
  • 在技術可行的情況下，共享或服務帳號憑證長度應至少為 20 個字元。
  • 系統應盡可能支援至少 64 個字元的密碼。
  • 在支援且合適的情況下，可以使用長助記詞。
  • 密碼在使用前必須符合組織核准的強度和篩選要求。

每個系統或服務使用不重複的密碼

重複使用密碼是憑證類安全事故最常見的原因之一。當多個服務使用相同的密碼時，單次資料外洩就可能同時暴露多個系統的存取權限。

攻擊者經常利用這種行為進行稱為憑證填充的攻擊，即將從一個服務中竊取的使用者名稱和密碼，自動在其他平台上進行測試。

出於這個原因，不重複是不可妥協的要求。每個帳號、服務和系統都應該有自己的密碼，絕不重複使用。

如果沒有安全密碼管理工具的支援，管理數十個甚至數百個不重複密碼將會是不切實際的。企業級密碼管理工具能自動產生強密碼並安全地儲存，讓員工無需依賴記憶即可維護不重複的憑證，進而使這項要求變得實用。

多因素驗證 (MFA) 要求

多因素驗證 (MFA) 是降低未經授權存取風險最有效的方法之一，特別是在憑證可能透過網路釣魚、惡意軟體(新視窗)或外部資料外洩而暴露的環境中。

MFA 的運作方式是要求使用者在獲得帳號存取權限之前，透過至少兩個獨立因素驗證其身分。這些因素包括：

  • 使用者知道的東西（密碼）
  • 使用者擁有的東西（例如安全金鑰、驗證 app 或行動裝置）
  • 使用者本身具備的特徵（例如指紋或臉部辨識等生物識別驗證）。

由於攻擊者很少能同時獲得所有這些因素，MFA 大幅降低了僅憑竊取的憑證就能入侵帳號的可能性。

NIST 和 CISA 等組織的指南強烈鼓勵(新視窗)在任何使用密碼存取的地方都使用多因素驗證，特別是針對包含敏感資料或提供管理權限的系統。

將 MFA 納入您的密碼政策

您的組織可以透過使用能簡化跨帳號部署與管理雙重身分驗證的工具，進一步加強 MFA 的採用。例如，Proton Pass 可以儲存並自動填入時效性一次性密碼 (TOTP) 以及儲存的憑證，在保持驗證資料加密的同時，簡化登入工作流程。

對於偏好將驗證因素分開的組織，Proton 還提供專用的 Proton Authenticator app，它能產生安全的六位數驗證碼，並能使用端對端加密在裝置間同步。該驗證器可離線運作且為開放原始碼，讓組織在維護透明度和強大隱私保護的同時，在業務帳號中實施 MFA

安全的密碼共享實踐

儘管許多安全指南建議完全不要共享密碼，但現實世界的商業環境仍有此需求。服務帳號、廠商存取和緊急程序偶爾可能需要多個授權使用者存取同一組憑證。

當非正式地進行共享時，例如透過電子郵件、聊天或口頭溝通，憑證會暴露且難以控制。一旦透過這些頻道共享，通常就沒有可靠的方法來追蹤誰擁有存取權限或在事後撤銷權限。

因此密碼政策應定義允許共享的方式與時機。在大多數組織中，共享應僅透過核准的憑證管理工具進行，這些工具可提供存取控制、稽核以及在必要時撤銷存取權限的能力。

離職與存取撤銷程序

當員工調動角色、離開組織或供應商關係結束時，必須及時審查並調整存取權限。未能及時撤銷憑證是未經授權存取最常見的來源之一。

強大的密碼政策應與入職及離職流程整合，確保存取權限能立即更新以反映角色變動或離職，包括停用帳號、更換共享憑證以及撤銷不必要的系統存取權限。

如果多個人員擁有共享服務帳號的存取權，則應在人員變動發生後立即更換密碼，以防止前員工或約聘人員在其帳號停用後仍保留存取權。

彌合密碼政策與人類習慣之間的鴻溝

密碼政策只有在人們遵守時才會生效。

在大多數組織中，失敗並非因為缺乏政策，而是因為政策未落實到日常工作流程中。當流程不明確、工具不足或未強化預期要求時，員工就會走捷徑。如果落實得當（並結合 企業密碼管理程式），強大的密碼政策能以一致的控制取代非正式的習慣、降低憑證相關風險，並使安全的存取管理成為日常營運的一部分，而非事後才想到的補救措施。