历年 Verizon《数据泄露调查报告》（DBIR）都指向同一个结论：数据泄露中涉及人为因素的占比高达七成左右，弱密码和凭证泄露是最主要的攻击路径之一。对企业来说，密码策略不光是技术问题，更是合规和风险管理的核心环节。下面这套方案可以直接拿给 IT 部门落地执行。
一、密码复杂度要求：NIST最新指南
传统的密码策略要求"8位以上、大小写+数字+符号"，但NIST在最新指南（SP 800-63B）中提出了更科学的建议：
- 最小长度12位，推荐16位以上
- 取消定期强制更换：除非确认泄露，否则不强制90天更换（减少员工使用"Password1"、"Password2"等变体）
- 禁止常见弱密码：维护企业级弱密码字典，注册时实时校验
- 支持长密码短语：允许使用"correct-horse-battery-staple"这类易记但高熵的短语
二、企业密码管理工具部署
要求员工记忆数十个复杂密码是不现实的，企业应统一部署密码管理器：
企业级密码管理方案：
• Bitwarden Enterprise：开源、性价比高，支持自托管
• 1Password Business：企业功能完善，支持SSO集成
• LastPass Business：老牌方案，但近年安全事件需评估
• 自建方案：KeePass + 企业共享数据库（适合高安全要求场景）
部署密码管理器后，员工只需记忆一个主密码，其余所有账号密码由管理器自动生成和填充。
三、多因素认证（MFA）强制策略
密码只是第一道防线。所有企业系统必须强制开启MFA，优先推荐以下方案：
- TOTP（时间同步令牌）：Google Authenticator、Microsoft Authenticator等App
- 硬件安全密钥：YubiKey、FIDO2密钥，防钓鱼攻击能力最强
- 生物识别：指纹、面部识别作为辅助验证
绝对避免SMS短信验证：SIM卡交换攻击、SS7协议漏洞使得短信验证码不再安全。
四、特权账号的特殊保护
管理员账号、数据库账号、API密钥等特权凭证需要更严格的管控：
- 密码长度32位以上：使用在线密码生成器创建超长随机密码
- 定期轮换：核心系统每月更换，普通系统每季度更换
- 分权管理：避免单一超级管理员账号，实行职责分离
- 审计日志：记录所有密码使用和变更操作
- 零信任架构：即使拥有密码，也需要额外验证才能访问敏感资源
五、员工安全意识培训
技术措施再完善，也挡不住员工点击钓鱼链接。企业应建立常态化的安全意识培训：
- 入职培训：密码安全基础知识、密码管理器使用
- 模拟钓鱼演练：每季度发送模拟钓鱼邮件，测试员工识别能力
- 泄露响应演练：模拟密码泄露事件，检验应急响应流程
- 奖励机制：对报告安全隐患的员工给予奖励
六、密码策略文档模板
以下是一份可直接使用的企业密码策略文档框架：
企业密码安全策略 V1.0
1. 所有员工账号密码最小长度12位，必须包含3种字符类型
2. 禁止使用个人信息、字典单词、连续字符作为密码
3. 每个系统使用唯一密码，禁止跨系统复用
4. 所有系统强制开启多因素认证
5. 使用企业统一分配的密码管理器存储密码
6. 发现泄露或异常登录时立即更换密码并报告IT部门
7. 离职员工账号密码在24小时内完成重置或注销
总结
企业密码安全不是一次性项目，而是需要持续投入的管理过程。通过科学的复杂度要求、统一的密码管理工具、强制的多因素认证、特权账号的特殊管控，以及常态化的员工培训，企业可以大幅降低因密码问题导致的数据泄露风险。对于需要快速生成合规密码的场景，在线密码生成器可以作为辅助工具，帮助员工创建符合企业标准的高强度密码。