【正确答案】 B、C、D

【答案解析】参考27002,9,2,4用户的秘密鉴别信息管理，B、C、D均正确，同时该控制中，还包含：1、建立一些规程，以在提供一个新的、代替的或临时的秘密鉴别信息之前，验证用户身份；2、在系统或软件安装后，应改变提供商的默认秘密鉴别信息；3、应以安全的方式将临时秘密鉴别信息提供给用户；应避免使用外部防火未受保护的（明文）电子邮件。综上本题选BCD