1、密码策略概述

1.1 密码策略的定义

密码策略（Password Policy）是一套由组织制定的、用于规范用户密码创建、使用、存储、变更及销毁全生命周期的规则集合。它是企业信息安全管理体系中最基础、最核心的控制措施之一，旨在通过技术手段与管理制度相结合的方式，降低因弱密码、密码泄露或密码管理不当导致的安全风险。

1.2 密码策略的重要性

密码策略的重要性体现在以下四个维度：

维度	说明	典型风险
身份认证安全	密码是用户身份验证的第一道防线	弱密码导致账户被暴力破解
数据保护	防止未授权访问敏感数据	密码泄露引发数据泄露事件
合规要求	满足等保2.0、GDPR、SOX等法规	违规导致罚款或法律诉讼
运维管理	降低IT支持成本与账号管理复杂度	密码重置频繁增加运维负担

1.3 密码策略在企业安全中的角色

在企业安全架构中，密码策略扮演着"守门人"的关键角色，其作用贯穿于安全防护的多个层面：

• 第一道防线：在边界防御、网络隔离、终端防护等纵深防御体系中，密码策略是用户身份认证的起点。
• 合规基石：等保2.0三级及以上系统明确要求密码复杂度、定期更换、登录失败锁定等策略。
• 风险缓解：有效的密码策略可降低70%以上的账号暴力破解风险（据Verizon数据泄露报告）。
• 审计依据：密码策略的执行日志是安全审计、事件溯源的重要证据来源。

1.4 密码策略的典型应用场景

以下是一个企业密码策略配置的示例（基于Windows AD域策略）：

密码策略配置示例（Windows Server 2019 域策略）
─────────────────────────────────────────────
[密码复杂度]
  启用：密码必须符合复杂性要求
  要求：大写字母 + 小写字母 + 数字 + 特殊字符

[密码长度]
  最小密码长度：12 个字符
  最大密码长度：128 个字符

[密码期限]
  密码最长使用期限：90 天
  密码最短使用期限：1 天

[账户锁定策略]
  账户锁定阈值：5 次无效登录
  账户锁定时间：30 分钟
  重置账户锁定计数器：30 分钟

[密码历史]
  强制密码历史：24 个记住的密码

1.5 密码策略与合规要求对照

不同合规标准对密码策略的具体要求存在差异，以下为常见标准的对照表：

合规标准	密码长度	复杂度要求	更换周期	锁定策略
等保2.0（三级）	≥8位	大写+小写+数字+特殊字符中至少3类	≤90天	≤5次失败锁定≥30分钟
GDPR	建议≥10位	建议混合字符集	建议定期更换	建议启用
PCI DSS v4.0	≥12位	必须包含大小写字母和数字	≤90天	≤6次失败锁定≥30分钟
ISO 27001	建议≥8位	建议启用复杂度	建议定期更换	建议启用

1.6 密码策略设计原则

• 最小权限原则：密码策略应与用户角色和系统敏感度相匹配，避免"一刀切"。
• 可用性平衡：过于复杂的策略会导致用户将密码写在便签上，反而降低安全性。
• 分层防御：密码策略应与其他安全控制（如MFA、生物识别）协同工作。
• 持续改进：定期评估密码策略的有效性，根据威胁情报和合规要求动态调整。

1.7 常见误区与挑战

• 误区一：密码越长越复杂越好 → 实际上需要平衡用户记忆负担与安全强度。
• 误区二：90天强制更换密码一定安全 → NIST最新指南建议取消定期更换，仅在疑似泄露时更换。
• 误区三：密码策略只针对普通用户 → 管理员账户、服务账户同样需要严格策略。
• 挑战：用户密码复用、弱密码习惯、社会工程攻击等难以通过技术策略完全解决。