口令可以用来以多种方式保护数据、系统和网络。例如，通过口令为操作系统和应用（如电子邮件、就业记录、远程访问等）认证用户身份。口令还可以用来保护文件和其他存储信息，例如通过口令保护单个压缩文件、密码密钥或加密的硬盘。此外，口令还经常被以不那么直观的方式使用，例如，生物测量设备根据指纹扫描生成口令，进而用这个口令来进行认证。
本文就口令管理（即在全企业范围内定义、执行和维护口令策略的过程）提出了相关建议。有效的口令管理可以降低基于口令的认证系统被人攻破的风险。机构需要保护口令的保密性、完整性和可用性，以使所有受权用户——以及没有得到授权的用户——都可以在需要时成功使用口令。口令的完整性和可用性应该由常规数据安全控制提供保障，例如利用访问控制列表防止攻击者覆盖口令和获取口令文件的安全备份。确保口令的保密性则更具挑战性，除了有关口令本身特点的决策之外，还涉及了诸多安全控制。例如，有关口令必须足够长和足够复杂的要求尽管可以降低攻击者猜中或破解口令的可能性，但同时也加大了用户记住口令的难度，使它们更可能保存不当，从而增加用户以不安全的方式保存口令和将口令暴露给攻击者的可能性。
机构应该清楚基于口令的认证机制存在什么缺陷。当今有许多威胁是专门针对口令的，其中大多数只能被部分抑制。此外，有越来越多的口令需要记住和管理，着实令用户不堪重负。然而，企业口令管理的现行机制尽管可以在某种程度上减轻这一负担，但每种机制在实用性方面各有重大不足，甚至有可能造成比较严重的安全事故——因为它们允许用一个认证凭证访问多个系统。因此，机构应该制定长期计划，为安全需要越来越高的资源更换或补充更强形式的基于口令认证机制。
