您的组织再也不能将密码安全交由各个团队成员自行处理。尽管人们本意良好，但往往会默认采用方便却有风险的习惯，例如将凭证保存在浏览器、电子表格或便签中。

强大的密码策略为整个组织中密码的创建、存储、分享、审查和保护确立了明确且可执行的标准。现代化的策略可以降低基于凭证的风险，支持合规要求，并为跨系统、跨团队和跨工作流的访问安全带来一致性。

这是企业无法忽视的问题。Verizon 的 2025 年数据泄露调查报告发现，在已确认的泄露事件的主要初始攻击载体中，凭证滥用占 22%。凭证安全不佳的代价还体现在运营中断、监管风险、声誉受损，以及团队在忙于恢复丢失或已泄露的访问权限时造成的长期停机。

除了制定密码策略，您的组织还需要能够让人们轻松养成安全习惯的系统和工具。仅有规则不足以确保运营安全，因为只要存在阻力，即使是出于好意的专业人员也会走捷径。我们的目标是让密码卫生成为阻力最小的路径。

下方的密码策略模板可以帮助您的企业立足于当前最佳实践和符合 NIST 的指导。您可以将其改编为内部策略、安全手册或治理控制措施，适合那些需要比一般建议更实用的内容的组织。

密码策略模板（示例）

章节策略要求（示例表述）实施说明
范围本策略适用于所有使用基于密码的身份验证访问公司系统或数据的员工、承包商、供应商和第三方。它涵盖所有系统，包括 SaaS 平台、云服务、内部工具、端点和管理环境。确保没有系统或用户群组超出范围。将供应商和共享环境纳入其中。
用户职责所有用户必须按照本策略创建、存储和管理密码。用户不得分享凭证、重复使用密码，或将密码存储在未经批准的位置。如怀疑凭证已泄露，必须立即报告。纳入入职培训和安全培训。
管理层职责经理必须及时沟通入职、角色变动和离职信息，以便实现恰当的访问控制和凭证更新。与 HR 工作流挂钩。
IT 与安全职责IT 和安全团队负责执行本策略、批准密码管理工具、监控合规情况，并应对与凭证相关的事件。在内部指定明确的责任人。
密码长度密码必须满足以下最低长度要求：15 个字符（标准帐户）、16 个字符（特权帐户），以及 20 个字符（技术可行情况下的共享或服务帐户）。系统应支持长密码（理想情况下最多 64 个字符。）
密码创建密码必须使用组织批准的商务密码管理器随机生成。不允许使用基于规律、个人数据或可预测结构由用户自行创建的密码。Proton Pass for Business 可以自动创建强大且随机的密码。
密码唯一性每个帐户、系统和服务都必须使用唯一的密码。严禁在工作系统、个人帐户或客户环境中重复使用密码。通过工具和培训来强制执行，而不能仅凭记忆。
密码强度测试密码不得过于简单、重复使用，或曾在已知数据泄露事件中暴露。尽可能使用支持已泄露密码检测的系统。
禁止的做法以下行为均被禁止：重复使用密码；使用与个人或公司相关的词语；使用可预测的模式；以纯文本形式存储密码；通过电子邮件、聊天或笔记分享凭证。本部分应表述明确，以消除歧义。
多因素身份验证 (MFA)必须在所有支持 MFA 的系统上启用 MFA，尤其是电子邮件、身份提供商、远程访问、财务系统、HR 平台和管理帐户。优先处理高风险系统。
密码存储所有凭证必须仅存储在组织批准的密码管理器中。除非经过集中管理并获得批准，否则不得将凭证存储在浏览器或本地工具中。Proton Pass for Business 提供具有受控访问的加密保险库。
禁止的存储方式不得将密码存储在电子表格、文档、电子邮件草稿、工单系统、共享云端硬盘或个人笔记中。这些做法非常常见，请定期进行审计。
密码分享不得通过非正式渠道分享密码。在需要分享的情况下，必须通过支持访问控制、审计和撤销的已批准安全系统进行。Proton Pass for Business 能够安全地分享凭证，而不会暴露密码本身。
共享帐户共享或服务帐户凭证必须指定负责人、限制访问、安全存储并定期审查。在人员变动或怀疑凭证已泄露时，必须轮换凭证。尽可能优先使用个人帐户。
培训与意识所有用户必须在入职时完成密码和凭证安全培训，并在此后定期参加。培训内容必须包括密码管理、MFA 的使用、网络钓鱼防范意识，以及事件报告。保持培训实用且与时俱进。
事件响应任何疑似或已确认的凭证泄露都必须立即报告。必须重置受影响的凭证、撤销相关会话，并审查访问权限。必须对事件进行记录。响应速度比完美更重要。
报告要求用户必须通过指定的报告渠道报告疑似凭证泄露。善意的报告不会导致任何纪律处分。鼓励尽早报告。
监控与日志在可行的情况下，必须记录身份验证活动，包括登录尝试、凭证更改和特权访问。应定期审查日志以发现异常。优先关注高风险系统。
离职与访问撤销角色变动或离职时，必须立即移除访问权限。必须审查共享凭证，并在必要时进行轮换。这一点至关重要，因为它是组织最常见的失败点之一。
合规对齐本策略支持组织遵守 NIST 和 ISO 27001 访问控制要求等公认框架。有助于审计和治理。
强制执行不遵守本策略可能导致重新培训、访问限制或纪律处分，具体取决于严重程度。始终如一地执行。
审查周期必须至少每年审查一次本策略，或在系统、风险或监管要求发生重大变化后进行审查。为更新工作指定负责人。

什么是密码策略？定义、目的和目标

密码策略是一套正式的规则，定义了凭证在组织系统中如何创建、管理、存储和保护。

密码策略的概念听起来简单，但其影响十分广泛。它远不止是强制使用企业密码管理器来管理业务凭证。在现代组织中，密码策略是身份安全的基石。

如果没有一致的策略来规范凭证在各系统中的处理方式，密码实践往往会变得碎片化，组织也会逐渐失去对访问实际管理情况的可见性。

强大密码策略的目的

定义完善的密码策略通过为整个组织中凭证的处理方式设定明确预期，来弥补安全缺口。它为密码创建、存储、分享和生命周期管理确立了统一的标准。

密码策略在治理和合规方面也发挥着重要作用。NIST 数字身份指南（新窗口）等安全框架以及 ISO 27001（新窗口） 等标准都强调，强身份验证实践是现代访问控制的重要组成部分。

处理敏感数据，尤其是个人信息、财务记录或专有商业信息的组织，越来越被期望证明对这些系统的访问受到成文安全控制措施的约束。

通过密码策略，您的组织可以为用于访问公司系统、服务、设备、应用和数据的密码的创建、存储、分享和管理定义最低要求。

密码策略应该做什么？

密码策略文件旨在：

  • 减少与密码相关的安全事件
  • 防止密码重复使用和不安全的存储做法
  • 要求采用安全的密码创建和管理做法
  • 支持员工、供应商和系统之间的安全访问
  • 加强审计准备和访问治理
  • 针对已泄露的凭证定义响应程序

这些目标共同帮助确保密码安全被视为一项运营标准，而非一种非正式的期望。

密码策略：范围、角色和职责

强大的密码策略应明确两件事。首先，它应清楚定义哪些用户、系统和数据必须遵守该策略。

其次，它应明确在整个组织中，谁负责遵守、实施和维护这些标准。

定义密码策略的范围

在现代组织中，访问权限很少仅限于内部网络上的全职员工。承包商、供应商和服务提供商可能都需要访问公司系统，因此策略应扩展到所有通过基于密码的身份验证与公司系统或数据交互的人员。

它还应适用于整个技术环境，包括：

  • 云平台
  • SaaS 工具
  • 内部系统
  • 开发环境
  • 管理控制台
  • 共享运营帐户 

这一点很重要，因为攻击者在寻找入口点时很少区分主要系统和次要系统。

定义密码策略中的角色和职责

如果没有明确的责任归属，密码管理就会变得碎片化。员工以为 IT 会自动处理安全问题，而 IT 则以为用户会自觉遵循最佳实践。有效的凭证安全需要整个组织的协调配合。

员工和承包商在与系统的日常交互中维护密码安全，而经理在入职、角色变动和离职期间监督访问治理。IT 和安全团队将负责实施技术控制并监控合规情况。系统所有者还将确保在其管理的应用和环境中执行相关标准。

关于最低密码长度和熵要求的密码策略指南

密码长度是决定凭证强度的最重要因素之一。更长的密码会显著增加攻击者在暴力破解攻击中需要测试的可能组合数量。

事实上，NIST 建议（新窗口）优先考虑密码长度而非严格的组合规则。现代策略不再强制用户包含特定的符号、数字和大写字母组合，而是侧重于确保密码足够长，并针对已知已泄露的凭证进行筛查。

因此，组织还应确保其系统在技术可行的情况下支持更长、更复杂的密码。这样做可以让安全团队随着时间推移采用更强的凭证标准，并确保您的组织为满足未来不断变化的安全要求做好准备。

强密码应达到或超过以下关键要求：

  • 足够的长度，以抵御暴力破解和自动化破解尝试
  • 每个帐户或服务唯一，防止跨系统重复使用凭证
  • 难以猜测，避免使用个人信息、公司相关内容或可预测的模式
  • 随机或高度不可预测，最好由已批准的密码管理器生成
  • 未曾出现在已知数据泄露事件中，也不在常见密码列表中

请注意，基于姓名、生日、公司用语或简单键盘模式的密码，无论长度如何，通常都能被自动化密码破解工具迅速破解。请参阅我们关于强密码要求的详细指南，适用于个人和企业。

密码的随机性与复杂性

现代安全框架建议随机生成密码，而不是让用户手动创建。由已批准的密码管理工具生成的随机密码可提供明显更强的保护，因为它们避免了可预测的模式，并且可以设置为长到难以记住的长度。

例如，您可以使用 Proton Pass 内置的安全密码生成器和安全凭证管理做法。这些工具相结合，有助于生成强大且不可预测的密码，同时解决密码存储、分享和生命周期管理方面的常见挑战。

密码策略中可以包含以下最低要求，以减少弱密码或重复使用的密码：

  • 标准用户帐户密码长度必须至少为 15 个字符。
  • 特权或管理员帐户密码长度必须至少为 16 个字符。
  • 在技术可行的情况下，共享或服务帐户凭证长度应至少为 20 个字符。
  • 系统应尽可能支持至少 64 个字符的密码。
  • 在受支持且合适的情况下，可以使用较长的密码短语。
  • 密码在使用前必须满足组织批准的强度和筛查要求。

每个系统或服务使用唯一的密码

密码重复使用是导致基于凭证的安全事件的最常见原因之一。当同一密码在多个服务中使用时，一次泄露就可能同时暴露对多个系统的访问。

攻击者经常利用这种行为，使用一种称为凭证填充的技术，将从一个服务窃取的用户名和密码自动在其他平台上进行测试。

因此，唯一性是一项不可妥协的要求。每个帐户、服务和系统都应拥有自己的密码，绝不在其他地方重复使用。

如果没有安全的密码管理工具的支持，管理数十或数百个唯一密码将不切实际。企业密码管理工具通过自动生成强密码并安全存储，使这一要求切实可行，让员工无需依靠记忆即可维护唯一的凭证。

多因素身份验证 (MFA) 要求

多因素身份验证 (MFA) 是降低未经授权访问风险的最有效方法之一，尤其是在凭证可能通过网络钓鱼、恶意软件（新窗口）或外部数据泄露而暴露的环境中。

MFA 的工作原理是要求用户在获得帐户访问权限之前，通过至少两个独立的因素验证其身份。这些因素包括：

  • 用户知道的信息（密码）
  • 用户拥有的物品（例如安全密钥、身份验证应用或移动设备）
  • 用户本身的特征（例如指纹或面部识别等生物识别身份验证）。

由于攻击者很少能同时获取所有这些因素，MFA 可显著降低仅凭被盗凭证就能入侵帐户的可能性。

NIST 和 CISA 等组织的指南强烈建议（新窗口）在使用基于密码的访问的任何地方采用多因素身份验证，尤其是对于包含敏感数据或提供管理权限的系统。

将 MFA 融入您的密码策略

您的组织可以使用能够更轻松地在各帐户间部署和管理双因素身份验证的工具，进一步推动 MFA 的采用。例如，Proton Pass 可以将基于时间的 一次性密码 (TOTP) 与保存的凭证一同存储并自动填充，从而简化登录工作流，同时保持身份验证数据已加密。

对于希望将身份验证因素分开的组织，Proton 还提供专门的 Proton Authenticator 应用，该应用可生成安全的六位数验证码，并可使用端到端加密在设备间同步。该身份验证器应用支持离线使用且为开放源码，让组织能够在企业帐户中实施 MFA，同时保持透明度和强大的隐私保护

安全分享密码的做法

尽管许多安全指南建议完全不要分享密码，但现实中的业务环境仍然需要这样做。服务帐户、供应商访问和应急程序有时可能需要多名授权用户访问相同的凭证。

当通过电子邮件、聊天或口头沟通等非正式方式分享时，凭证就会暴露且难以控制。一旦通过这些频道分享，通常就无法可靠地追踪谁拥有访问权限，也无法在事后撤销。

因此，密码策略应定义允许分享的方式和时机。在大多数组织中，分享只能通过提供访问控制、审计以及在必要时撤销访问的能力的已批准凭证管理工具进行。

离职与访问撤销程序

当员工变更角色、离开组织或供应商关系结束时，必须及时审查和调整访问权限。未能及时撤销凭证是导致未经授权访问的最常见原因之一。

强大的密码策略应与入职和离职流程集成，确保访问权限立即更新以反映角色变动或离职，包括停用帐户、轮换共享凭证以及撤销不必要的系统访问。

如果多人曾访问某个共享服务帐户，则应在人员变动发生后尽快轮换密码，以防止离职员工或承包商在其帐户停用后仍保留访问权限。

弥合密码策略与人类习惯之间的差距

密码策略只有在人们遵循的情况下才会有效。

在大多数组织中，失败并非因为缺少策略，而是因为策略没有嵌入日常工作流。当流程不清晰、工具不足或期望未得到强化时，员工就会走捷径。如果实施得当（并结合企业密码管理器使用），强大的密码策略将以一致的控制取代非正式习惯，降低与凭证相关的风险，并使安全的访问管理成为日常运营的一部分，而非事后补救。