[閒聊] 關於 ISO27001 的密碼更換代數問題 jjasoncool PTT批踢踢實業坊

[閒聊] 關於 ISO27001 的密碼更換代數問題

作者: jjasoncool (龍門忠武) 2025-09-09 13:37:47

如題
最近因為稽核ISO27001 其實也有通過稽核驗證了
只是關於密碼定期更換這個問題
後來陸續有些組織開始提出不應頻繁更換導致使用者都使用
固定模式來進行更換更甚者導致自己密碼忘記就寫在隱密處等等困擾問題
（當然當事人的機敏資料必須進行控管有上鎖保管好等）
然而在近期有看到關於 NIST SP 800-63B
此指引有提到避免強制輪換密碼導致使用者負擔
想說有沒有人有遇到類似問題歡迎一起討論
當然強迫使用者換其實很簡單只是在想有沒有可以符合規定
又可以讓使用者方便的雙贏做法

作者: ym7834 (zero0) 2025-09-10 08:42:00

password manager 跟 passkey另外雖說不換密碼，但要能去監看有沒有密碼流落在外面被人用來撞庫。能做到這個也是不容易

作者: asimon (逞˙強) 2025-09-10 14:57:00

2FA、MFA.. Ex.OTP. 一組好的通行碼勝過N組爛密碼。https://auditboard.com/blog/nist-password-guidelinesNIST有一系列建議可參考，翻譯一下哪些適合可以拿去參考。

作者: jjasoncool (龍門忠武) 2025-09-10 20:46:00

感謝分享

作者: holishing 2025-09-18 21:44:00

推分享

繼續閱讀

[閒聊] 尋找有意願一起組隊參加HITCON CTF的同好JianMing [閒聊] 兩張考過的政府相關資安證照分享hiiii1234 [情報]調查局/刑事局 & 三大電信你們好大狗膽~iamontou [閒聊] 資安雙週報 250515CMJ0121 [閒聊] 資安雙週報 250501CMJ0121 [問題] 有關google 泰坦金鑰是否沒用trkotaco [問題] 請推薦台灣連到國外的VPN軟體，感謝～ching1217 [閒聊] 幽默的檢查網站CMJ0121 [閒聊] CVE away from MITRECMJ0121 [閒聊] 資安雙週報 250415CMJ0121