四、系統登入作業管理
(一)重要系統應限制連續登入失敗之上限為五次,登入失敗次數達上限
者,應暫時停止該帳戶一定時間之登入,或鎖定該帳戶直到系統管
理人員(或帳號管理人員)確認該帳戶擁有人身分後應其要求解除
鎖定。
(二)重要系統之登入程序應避免於登入畫面提供帳號、密碼之提示訊息
;登入失敗之因應訊息亦不揭露系統設計相關資訊。
(三)重要系統使用者除採一般識別碼外,應依業務需求考量是否須採用
其他適切之身分鑑別技術。
(四)重要系統於登入作業完成後,應以可顯示前一次登入成功或失敗之
時間或相關訊息為原則。
(五)含有敏感性資訊之系統,應考量業務需求,設定可開放連線之時間
或連線逾時自動登出之機制,以防止未經授權存取。