📹 培训视频学习
一、前言
随着企业数字化办公普及，OA 系统、业务平台、服务器后台、财务软件、云盘、企业邮箱、VPN 远程办公等全部依赖账号密码登录。弱密码、共用密码、随意泄露密码已成为企业数据泄露、勒索病毒入侵、账号被盗、内网被横向渗透的最高发诱因。
本次文章主要是面向全体员工开展统一密码安全培训，明确全员密码使用标准、违规风险、正确管理方式，从源头降低企业网络安全事件。
二、企业密码安全典型风险案例
弱密码爆破入侵
员工使用 123456、00000、公司名称、生日、手机号后 6 位等简易密码，黑客通过暴力扫描、字典破解，批量登录员工 VPN / 业务系统，窃取客户资料、财务台账、项目核心文档。
多平台密码复用泄露
员工微信、网盘、购物软件、企业后台共用同一套密码，外部网站发生数据脱库后，黑客直接使用泄露密码登录企业内网系统。
密码共享与转借
岗位交接、临时协助工作时，直接微信 / QQ 发送账号密码；多人共用运维后台、财务账号，出现数据篡改、操作泄密后无法定位责任人。
明文存储、随意留存密码
将密码写便利贴贴显示器、保存在电脑桌面 txt 文档、手机备忘录无加密保存、拍照存相册，外人可轻易获取账号权限。
钓鱼邮件诱导泄露
仿冒 VPN 登录页、企业邮箱通知、OA 系统弹窗钓鱼链接，员工输入账号密码后，账号直接被黑客劫持。
离职账号未回收 + 密码未更换
员工离岗后未及时重置共享账号密码、未注销系统权限，遗留后门，造成历史业务数据外泄。
三、强制密码设置标准
1. 密码长度与复杂度硬性规则
最低长度：不少于 12 位字符
必须同时包含四类中三类：大写英文字母、小写英文字母、数字、特殊符号（!@#$%^&*_-）
禁止密码包含以下内容：
本人 / 家属姓名、生日、工号、手机号、公司简称、部门名称
连续重复数字 / 字母（111111、aaaaaa、123456、654321）
通用默认密码：999999、admin123、root、password、12345678
2. 分系统差异化密码要求
高权限系统（运维服务器、财务系统、数据库、深信服 AC/AD/ 防火墙后台）
16 位及以上复杂度密码，每 60 天强制更换，严禁和办公邮箱、普通业务账号密码通用。
办公业务系统（OA、项目管理、客户 CRM、企业网盘）
12 位以上复合密码，每 90 天更换一次。
远程访问工具（SSL VPN）
除高强度密码外，必须绑定企业统一 MFA 二次验证码，仅密码无法登录内网。
3. 密码更换规范
更换新密码时，禁止与前 3 次历史密码重复；
发现账号异地登录、异常登录提醒，立即修改全部关联密码并同步 IT 同事。
四、日常使用安全行为准则
严禁账号共用、转借他人，一人一号，操作行为全程日志留痕，谁使用谁负责；临时协作走系统授权，不直接交付账号密码。
不通过微信、QQ、短信、邮件明文发送任何系统账号密码，需要交接走加密企业内部审批通道。
不随意保存密码到浏览器自动填充，公用办公电脑必须关闭密码记忆功能；私人设备开启密码管理器加密存储。
离开工位立刻锁屏（Windows 快捷键 Win+L），杜绝他人趁无人操作登录系统。
仅通过企业官网、桌面官方快捷方式登录深信服 VPN、OA 系统，不点陌生短信、邮件内未知登录链接，防范钓鱼页面窃取账号。
外部公共 WiFi 环境（酒店、车站、商场）禁止登录企业业务系统、VPN，公共网络存在抓包窃取密码风险。
不点击来路不明附件、压缩包，恶意程序会本地窃取浏览器、备忘录存储的全部账号密码。
五、密码泄露应急处置流程
收到系统异常登录、异地登录提醒，第一时间修改对应平台密码；
若确认密码已泄露：
① 立刻修改所有企业系统、私人平台复用密码；
② 关闭浏览器自动保存密码，清理缓存；
③ 第一时间上报 IT 同事，由通过安全设备拦截异常 IP、临时冻结账号；
配合运维核查操作日志，排查是否存在文件下载、数据篡改等泄密行为，同步留存事件记录用于安全复盘。
