291在這里，限制不僅僅是limited，是更為嚴(yán)厲的restricted。對(duì)特權(quán)賬戶(hù)既要考慮嚴(yán)厲限制，盡量的少，又要考慮單點(diǎn)風(fēng)險(xiǎn)。

292“秘密用戶(hù)信息（secret a uthentication information）”概念不常見(jiàn)，搞得有點(diǎn)不明確，在ISO/IEC 27002: 2005中11.2.3有“用戶(hù)口令管理( use password management)”章節(jié)，估計(jì)以前比較常見(jiàn)的就是口令，其他都不多。因此，ISO/IEC 27002: 2013的“其他信息”中說(shuō)：Passwords are a commonly used type of secret authentication information and are a com-mon means of verifying a user's identity. Other types of secret authentication information are cryptographic keys and other data stored on hardware tokens(e.g.smart cards) that produce authentication codes，大意是：口令是常用的秘密認(rèn)證信息和常見(jiàn)的驗(yàn)證用戶(hù)身份的手段。其他類(lèi)型秘密認(rèn)證信息是密鑰數(shù)據(jù)以及其他存儲(chǔ)在產(chǎn)生認(rèn)證碼的硬件（例如智能卡）的數(shù)據(jù)。

293雖然ISO/IEC 27002: 2013的描述全面了，主要包括的要求還是比較模糊，絕大部分的描述是把use password換成了secret authentication.nformation，而且ISO/IEC 27002: 2005中的“其他信息”中也說(shuō)了智能卡等，只是那時(shí)候還比較新鮮，用的口氣是“如果合適，宜加以考慮”。ISO/IEC 27002: 2013中的具體控制措施