编制安全计划时密码相关规则应归类为安全策略还是标准？

首先明确：你此前将3项密码组成规则归类为安全策略的判断不准确；你提到的2项密码使用规则，属于安全标准范畴。

核心判定逻辑非常明确：

• 安全策略是顶层方向性要求，只说明管控目标和原则，不涉及可直接校验的量化、具象规则，比如“项目涉及的所有系统、数据访问必须启用强身份校验，防范未授权访问”才属于策略层面的表述。
• 安全标准是为落地安全策略制定的、可直接执行、可检查合规性的硬性要求，所有涉及人员必须严格遵守，你拟定的全部5项密码规则都符合安全标准的特征。

具体规则对应归类 #

原拟划入安全策略的3项密码组成规则 #

以下规则不属于安全策略，应调整归入安全标准：

• 密码长度至少9位
• 密码需包含至少1个数字
• 密码需包含至少1个特殊字符

待确认归类的2项密码使用规则 #

以下规则属于安全标准，可直接纳入密码安全标准板块：

• 不得将密码记录在便利贴上
• 不同登录账号需使用独立密码

安全计划密码模块排布参考 #

你可以按照从宏观到微观的逻辑梳理对应内容，避免层级混乱：

1. 顶层安全策略：明确密码管控的核心目标与原则，不写具体细则
2. 密码安全标准：纳入你目前拟定的5项具象、可校验的硬性规则
3. 可选操作指引：补充密码生成、密码重置、疑似泄露后的处置流程等操作层面的说明，方便相关人员执行

内容的提问来源于stack exchange，提问作者Fábio Pires