291在這里，限制不僅僅是limited，是更為嚴(yán)厲的restricted。對特權(quán)賬戶既要考慮嚴(yán)厲限制，盡量的少，又要考慮單點風(fēng)險。

292“秘密用戶信息（secret a uthentication information）”概念不常見，搞得有點不明確，在ISO/IEC 27002: 2005中11.2.3有“用戶口令管理( use password management)”章節(jié)，估計以前比較常見的就是口令，其他都不多。因此，ISO/IEC 27002: 2013的“其他信息”中說：Passwords are a commonly used type of secret authentication information and are a com-mon means of verifying a user's identity. Other types of secret authentication information are cryptographic keys and other data stored on hardware tokens(e.g.smart cards) that produce authentication codes，大意是：口令是常用的秘密認(rèn)證信息和常見的驗證用戶身份的手段。其他類型秘密認(rèn)證信息是密鑰數(shù)據(jù)以及其他存儲在產(chǎn)生認(rèn)證碼的硬件（例如智能卡）的數(shù)據(jù)。

293雖然ISO/IEC 27002: 2013的描述全面了，主要包括的要求還是比較模糊，絕大部分的描述是把use password換成了secret authentication.nformation，而且ISO/IEC 27002: 2005中的“其他信息”中也說了智能卡等，只是那時候還比較新鮮，用的口氣是“如果合適，宜加以考慮”。ISO/IEC 27002: 2013中的具體控制措施