服务器账号密码管理办法，如何设置与管理才安全合规？

服务器账号密码管理办法

总则

为规范服务器账号与密码的管理,保障信息系统安全，防止未经授权的访问和操作，特制定本办法，本办法适用于所有接入企业内部网络的服务器，包括物理服务器、虚拟服务器及云服务器，管理对象涵盖管理员账号、普通用户账号、服务账号及临时账号等所有类型的账号及其关联密码。

账号管理规范

1. 账号申请与审批
   账号申请需由申请人填写《账号申请表》，注明账号用途、权限级别、使用期限等信息，经部门负责人及信息安全管理员审批后方可创建，临时账号需明确使用截止日期，到期自动禁用。

2. 账号分类与权限控制
   账号分为超级管理员、系统管理员、普通用户及只读用户四类，严格遵循“最小权限原则”，超级管理员仅限2人，且需双人操作复核；系统管理员负责日常维护，不得拥有业务数据访问权限；普通用户仅限操作授权范围内的功能；只读用户仅可查看数据，禁止执行任何修改操作。

3. 账号生命周期管理
   员工离职或岗位调动时，人力资源部门需及时通知信息安全管理员，在24小时内禁用或回收相关账号，长期未使用（超过90天）的账号自动冻结，30天内未激活则永久删除。

密码安全策略

1. 密码复杂度要求
   密码必须包含大小写字母、数字及特殊字符，长度不低于12位，禁止使用连续字符（如“123456”）、常见词汇（如“password”）或与账号相关的信息，密码历史记录需保留最近5次，防止重复使用。

2. 密码更新周期
   超级管理员密码每90天更换一次，系统管理员密码每180天更换一次，普通用户密码每270天更换一次，临时账号密码在创建时强制设置，使用结束后立即失效。

   

3. 密码存储与传输
   密码需加密存储，禁止明文记录在文档或邮件中，远程管理时必须使用SSH、RDP等加密协议，禁止通过FTP、Telnet等明文传输协议传输密码。

操作安全规范

1. 登录行为监控
   所有服务器登录行为需记录日志，包括登录时间、IP地址、操作内容及操作人员，信息安全管理员每日审计日志，发现异常登录（如异地登录、非工作时间登录）立即核查并报警。

2. 会话管理
   管理员操作服务器需启用双因素认证（如U盾、动态令牌），单次会话时长不超过2小时，超时自动退出，禁止多人共享同一账号，特殊情况需申请临时授权并记录操作内容。

3. 漏洞与补丁管理
   每月对服务器进行漏洞扫描，高危漏洞需在48小时内修复，操作系统及应用程序补丁需经过测试环境验证后，方可批量更新，避免影响业务运行。

应急响应与责任追究

1. 安全事件处理
   发生账号密码泄露、未授权访问等安全事件时，需立即切断服务器网络连接，保留现场证据，并在1小时内上报信息安全管理委员会，根据事件级别启动应急预案，24小时内完成初步调查，72小时内提交书面报告。

   

2. 责任划分
   信息安全管理员负责账号密码的日常维护与审计；部门负责人监督账号申请与回收流程；员工需妥善保管个人账号密码，因个人原因导致密码泄露的，将追究其法律责任。

附则

本办法自发布之日起施行,由信息安全管理委员会负责解释与修订，每年对办法进行一次评审，根据技术发展和实际需求更新内容，所有相关人员需签署《安全责任书》，确保严格遵守本办法规定。

通过以上措施,可有效降低服务器账号密码的安全风险，保障企业信息系统的稳定运行。