受监管行业的密码最佳实践：实用安全指南

密码最佳实践归结起来是一份简短、近乎乏味却真正有效的清单：使用密码管理器为每个账户生成长且唯一的密码，启用多因素身份验证（MFA），并且绝不在不同服务之间重复使用同一个密码。对于医疗、法律和金融领域的团队而言，最大的风险很少是密码过于简单，而是密码被重复使用或被盗。如今，大多数账户泄露都始于攻击者已经掌握的凭据，而不是他们猜出来的密码，因此真正的目标是杜绝重复使用，并增加第二重验证因素。

‍

要点总结

• 密码管理器加上 MFA，可以阻止绝大多数自动化账户接管攻击。密码安全的核心正是这一组合，而不是记住巧妙的字符串。
• 重复使用是主要的薄弱环节。行业研究一致发现，大多数人都会重复使用密码，因此一次泄露就可能波及所有共用该密码的账户。
• 弱密码通常是可预测的，而不是随机的。按季节替换的密码、宠物名字和公司名称，正是攻击者最先尝试的内容。
• 威胁已经从猜测密码转向窃取密码，这就是为什么唯一性和 MFA 比单纯的字符复杂度更重要。
• 工作凭据和个人凭据绝不应混用。将两者分开，可以在任何一方被攻破时限制损失。

‍

什么是密码最佳实践？

密码最佳实践是一组习惯和控制措施，用来防止账户凭据被猜出、破解、重复使用或被盗。它们涵盖密码的创建方式（长度和随机性）、存储方式（使用密码管理器，而不是便利贴、电子表格或浏览器）、保护方式（MFA）以及共享方式（仅通过安全渠道）。标准制定机构的最新指南已不再强制要求复杂的字符规则和频繁更换，而是转向强调长度、唯一性和强力的第二重验证因素。

‍

为什么密码安全比以往任何时候都更重要

攻击者的手法已经改变。十年前，主要担忧是有人通过尝试大量组合来暴力破解弱密码。如今，更大的威胁是凭据窃取：攻击者通过数据泄露、网络钓鱼和信息窃取恶意软件（悄悄从受感染设备中收集已保存密码和登录会话的软件）获得有效密码，然后直接登录。根据《Verizon 数据泄露调查报告》，被盗凭据是攻击者获得初始立足点的最常见方式之一；IBM X-Force 也报告称，大量入侵使用的是有效的被盗凭据，而不是任何漏洞利用。

‍

这一点之所以重要，原因很现实：如果攻击者可以购买或窃取一个已经有效的密码，那么该密码本身的强度就不再能保护您。真正保护您的，是密码具有唯一性（因此无法解锁其他任何账户），以及在被盗密码与账户之间还有第二重验证因素。对于处理敏感记录的受监管团队来说，这一转变正是下列实践的全部依据。

‍

怎样的密码才算强密码？

强密码有三个特性：长度、随机性和唯一性。其中长度最为重要。美国国家标准与技术研究院（NIST）在特别出版物 800-63B-4 中建议，作为单一因素使用的密码至少应有 15 个字符（并支持至少 64 个字符的长度），而网络安全与基础设施安全局（CISA）则建议至少使用 16 个字符。随机性意味着避免使用词典词汇和个人信息。唯一性意味着每个账户使用不同的密码。

‍

随机字符串之外，一个实用的替代方案是密码短语：将四到七个互不相关的单词串联在一起，既够长、难以破解，又更容易记住。CISA 给出的示例是把几个互不相关的单词组合成一个短语。

‍

‍

实际差别如下：

‍

‍

如何创建强密码

最快且可靠的方法是让密码管理器为您生成密码。如果确实需要手动创建密码（例如用于解锁密码管理器的主密码），请使用密码短语：

‍

1. 随机挑选四到七个互不相关的单词。避免使用任何与您本人、您的雇主或日期有关的内容。
2. 将它们组合成一个短语。可以保留或去掉空格。
3. 增加长度，而不是复杂度。较长的短语胜过带符号的短字符串。
4. 确保它只在一个地方使用，绝不在其他任何地方重复使用。
5. 切勿以明文形式存储。请记住主密码，其余的交给密码管理器保管。

‍

完全避免使用可预测的组成元素。攻击者会发动字典攻击（利用常见单词和已知密码列表进行自动猜测）和凭据填充（即重放从其他数据泄露事件中泄露的用户名和密码组合）。常见的已泄露密码，如 123456、admin 和 password（NordPass 的研究中经常提及），瞬间就会被破解，与情境相关的选择也一样，例如宠物的名字、公司名称，或季节加年份。

‍

停止重复使用密码：最关键的改进

如果您只改变一个习惯，那就改变这一个。安全研究中引用的调查显示，大多数人会在多个账户中重复使用密码（Forbes Advisor 曾报道约为 78%），而 SpyCloud 的泄露分析发现，在数据泄露中暴露的人群里，有很大一部分曾重复使用过已暴露的密码。重复使用会让一次泄露演变成连锁反应：一个被攻破的服务会把您的邮箱钥匙交给攻击者，而您的邮箱正是重置所有其他账户的途径。

‍

由此直接得出两条规则。第一，每项服务使用一个密码，没有例外。第二，将工作凭据与个人凭据彻底分开。您的流媒体服务密码不应出现在公司系统附近，公司密码也绝不应用来保护个人账户。请将隔离视为一项安全控制措施，而非礼仪：它能限制影响范围，使一方遭到入侵时不会波及另一方。

‍

什么是密码管理器？您应该使用吗？

密码管理器是一种在加密保险库中生成、存储并自动填充密码的应用程序。您只需记住一个强主密码，其余一切由管理器记住，包括您根本无法背下来的长随机密码。它还会标记弱密码或重复密码，方便您修复。CISA 和大多数安全团队都认为，密码管理器是让每个账户都使用强而唯一的密码变得切实可行的最简单方法。

‍

密码管理器大致分为两类。个人密码管理器面向个人用户和小型团队。企业级解决方案通常属于特权访问管理（PAM，即保护和监控高价值管理凭据的做法）的一部分，并增加了集中控制、访问限制、审计以及单点登录（SSO，允许用户一次认证即可访问多个获批应用）。需要提醒的一点：对于重要凭据，避免依赖浏览器内置的存储功能，因为与专用的加密管理器相比，存储在浏览器中的密码在设备被入侵或被盗时可能更容易被提取。

‍

启用多因素身份验证（MFA）

多因素身份验证（MFA）要求在密码之外再提供第二重身份证明，例如来自身份验证器应用的验证码、硬件密钥或生物识别检查。由于仅凭被盗或被猜中的密码无法登录，MFA 能够阻挡绝大多数自动化的批量攻击，CISA 和 Microsoft 均将其作为基础控制措施予以推荐。

‍

并非所有验证因素都同样可靠。在支持的情况下，优先选择基于 FIDO2 和 WebAuthn 标准的抗网络钓鱼方式，包括通行密钥（即绑定到您设备的加密密钥，可完全取代密码，并作为独立的登录方式，而不仅仅是第二重验证因素）。通过短信发送的一次性验证码是常见验证因素中最薄弱的一种，因为它容易受到 SIM 卡交换攻击和 SS7 协议攻击，这些攻击可在网络层拦截短信，NIST 和 CISA 都建议在有更强方案可用时不要依赖短信验证码。

‍

您应该定期更换密码吗？

不需要，至少对于普通用户账户来说，不必按固定周期更换。NIST 现在建议不要对用户密码强制定期更换，因为强制轮换会促使人们采用可预测的模式（Summer2025 变成 Summer2026），并促使他们把密码写下来。相反，应在有原因时更换密码：已知或疑似遭到入侵、收到数据泄露通知，或某个您已无法确认去向的凭据。即使您“十分确定没问题”，只要确认已暴露，就足以成为轮换密码的理由。（高权限的管理凭据属于例外，通常会例行轮换。）

‍

如何安全地共享密码

有时确实需要共享某个凭据。此时，传输渠道与密码本身同样重要。切勿通过 Slack、电子邮件或短信发送密码，因为这些内容可能留存在可搜索的历史记录中、被转发，或在任一账户遭到入侵时被泄露。请改用密码管理器的安全共享功能，它能保持凭据加密，并让您日后可以撤销访问权限。如果密码曾经通过聊天或电子邮件传送，请将其视为已暴露并立即轮换。

‍

受监管行业的密码最佳实践

医疗、法律和金融机构肩负着额外的责任，因为相关账户通常保护着受监管的数据。在医疗领域，这包括受保护的健康信息（PHI，即可识别个人身份的健康数据）。各类合规框架对凭据管理提出了要求，而良好的凭据管理习惯有助于满足这些要求。例如，HIPAA 安全规则要求对处理 PHI 的系统实施访问控制和身份验证保障措施，而唯一凭据加上 MFA 正是支持这些要求的切实做法。（HIPAA 还通过 Business Associate Agreement（即 BAA）来规范供应商关系，这是一份使服务提供商对保护 PHI 负责的合同。）

‍

有一个观点值得牢记：合规与安全相关，但并不等同。密码策略在形式上可能满足过时的检查清单，却仍然留下真实的风险；而一项看似严格的策略（频繁强制更改、复杂的字符规则）在实践中可能反而不如基于长度、唯一性、密码管理器和 MFA 的简单策略有效。对受监管的团队而言，目标是制定一项既能经受审计人员检验、又能真正抵御当今攻击者手段的策略。强大且唯一的凭据、MFA、安全共享以及加密保管库，可以在不牺牲易用性的前提下，支持 HIPAA、SOC 2 和 ISO 27001 等框架下公认的控制措施。

‍

常见问题

‍

最安全的密码类型是什么?

最安全的密码是由密码管理器生成并存储的长随机密码，因为您无需记忆或手动输入。对于必须自己记住的那一个密码，由四到七个互不相关的单词组成的密码短语既足够长，又便于记忆。无论哪种情况，密码都应仅用于单个账户。

‍

应避免使用哪些最常见的密码？

对已泄露凭据的研究（例如 NordPass 的年度分析）一再发现，榜首总是同样的几个：123456、admin 和 password。任何单个词典词汇、人名或宠物名、公司名称，或者季节加年份的组合，都会落入同样的陷阱。这些是自动化攻击最先尝试的猜测，因此请完全避免使用。

‍

密码管理器安全吗？

安全。对几乎所有人来说，信誉良好的密码管理器都远比其他做法安全，后者包括重复使用密码、使用弱密码和用便利贴记录。保管库是加密的，您只需要保护好一个强主密码（最好是密码短语），并启用 MFA。这种便利性也让您在数十个账户上使用强而唯一的密码成为现实。

‍

密码应该多长？

越长越强。NIST 建议单因素密码至少为 15 个字符，并支持至少 64 个字符的长度，而 CISA 建议至少达到 16 个字符。密码短语是达到这一长度的简便方法，同时又不会生成难以记住的密码。

‍

我应该定期更改密码吗？

对于普通账户，不需要按固定周期更改。NIST 不建议强制定期更改，因为这会促使人们使用可预测的模式。只有在出现真实触发情形时才更改密码，例如收到泄露通知或发现任何账户被入侵的迹象。

‍

在浏览器中存储密码安全吗？

对于重要账户，专用的密码管理器比浏览器内置的存储更安全。存储在浏览器中的密码，在设备丢失、被盗或感染恶意软件时可能更容易被提取。浏览器提供的保存登录信息功能最多只用于低价值账户，最好完全不用。

‍

我应该如何与同事共享密码？

请使用密码管理器中的安全共享功能，它能保持凭据加密，并允许您日后撤销访问权限。不要通过 Slack、电子邮件或短信发送密码。如果密码曾经通过其中任何一种渠道传输过，请立即更改。