Salasanojen hallintajärjestelmä antaa käyttäjän rekisteröitymistilanteessa päättää, mitenkä monimutkainen salasana tällä kertaa laitetaan, ja muistaa sen käyttäjän puolesta.

Salasanojen hallintajärjestelmän käytössä voidaan noudattaa mm. seuraavia periaatteita:

• järjestelmä pakottaa käyttämään jatkossa yksilöllisiä salasanoja
• järjestelmä varoittaa käyttäjää vaihtamaan vanhat toistuvat salasanat
• järjestelmä pakottaa valitsemaan tarpeeksi monimutkaisia, laadukkaita salasanoja
• järjestelmä pakottaa käyttäjän vaihtamaan tilapäisen salasanan ensimmäisellä kirjautumiskerralla
• järjestelmä pakottaa vaihtamaan mahdollisesti tietovuodossa vaarantuneen salasanan
• järjestelmä estää samojen salasanojen uudelleen käyttämisen
• järjestelmä säilyttää salasanatiedostot erillään muista tiedoista ja vahvasti salattuina

The organization should ensure that passwords used for network and information systems are created and managed securely. This includes defining clear requirements for password creation, validity, and changes for all users and administrators.

When defining these requirements, the organization should consider the following:

• Minimum length: setting a minimum of set characters for passwords
• Character diversity: password must be a combination of uppercase letters, lowercase letters, numbers, and symbols.
• Contextual security: prohibiting the use of personal identifiers (e.g., birthdays, family names) or company-specific terms.
• Pattern prevention: blocking sequential characters (e.g., "123456") and common keyboard patterns (e.g., "qwerty")
• Account separation: Administrative accounts must utilize more stringent requirements than standard user accounts.
• Triggered and scheduled changes: Passwords must be changed immediately if a compromise is suspected. Also a periodic rotation must be set for password changes.

To ensure these standards are met, it is recommended that a certified password management system be used to generate, store, and protect unique, high-strength credentials.

Organisaatiolla tulee luoda menettely henkilöstöään koskevaa koulutusta ja ohjausta varten. Näihin menettelyiden tulisi sisältää ja kattaa ainakin seuraavat aiheet:

• Tietoturvapolitiikka.
• Turvallisuuspoikkeamien raportointi.
• Reagointi haittaohjelmahäiriöihin.
• Käyttäjätiliä ja kirjautumistietoja koskevat käytännöt (esim. salasanakäytännöt).
• Tietoturvasäännösten noudattaminen.
• Salassapitosopimusten (NDA) käyttö arkaluonteisia tietoja jaettaessa.
• Ulkoisten IT-palveluiden käyttö.

Koulutusohjelmassa olisi yksilöitävä tietyt työntekijäryhmät, jotka tarvitsevat tätä koulutusta, kuten järjestelmänvalvojat, tuotantohenkilöstö sekä henkilöt, joilla on pääsy asiakasverkkoihin.

Vastuullisen johdon on hyväksyttävä koulutusmenettely. Koulutus- ja tietoisuusohjelmat on toteutettava säännöllisesti ja erityisten tapahtumien yhteydessä. Varmista, että työntekijät tietävät, keneen ottaa yhteyttä tietoturva asioissa.

Organisaation on käytettävä salasanapohjaisissa palveluihin kirjautumisessa seuraavia salasanakäytäntöjä. Suojautuakseen mm. "brute-force" salasananmurtohyökkäystä vastaan organisaation täytyy käyttää vähintään yhtä alla olevista käytännöistä:

• käyttäjä lukkiutuu 10 epäonnistuneen kirjautumisyrityksen jälkeen
• Asettaa raja viiden minuutin aikana tehtyihin kirjautumisyrityksiin kymmeneen

Lisäksi seuraava salasanakäytännöt tulisi olla käytössä:

• Salasanan vähimmäispituus 8 merkkiä
• Salasanalla ei ole maksimipituutta
• Salasana on vaihdettava, jos tiedetään tai epäillään sen vaarantumisesta