如果唯一的用户是企业的员工，那么网站安全的行业标准是什么？

Question

我是一名新手Web开发人员，受雇于创建一个Web应用程序，供小型企业的员工和经理用于内部使用。 （例如，他们将处理表格，存储客户数据等）。 一些信息：

• 存储的客户数据非常敏感。
• 员工将使用位于附近的非员工的软件，例如客户。
• 我也将是负责管理网站的人。
• 使用该系统的人不会太多：未来几年最多可容纳20人。

鉴于这些信息，我需要知道在这种情况下，就密码恢复，注册，“记住我”功能和行政管理而言，行业标准是什么？ 这有什么好资源？

到目前为止，我在考虑以下问题：

1. 只有那些清关水平高于你的人才能创建，修改，恢复和删除你的清关级别的账户（例如，经理对员工，超级（经理）到经理和员工等）。 这意味着员工可以通过他们的经理手动恢复自己的帐户或更改密码的唯一方法

2. 没有电子邮件密码恢复

3. “记住我”功能应该只记住用户名，永远不要记住密码

4. 申请应在非活动30分钟后退出。

5. 奖金：如果国外的用户使用它，账户就​​会锁定（因为没有理由会发生）

这是一个好主意吗？ 在谈到这些东西时，我应该考虑哪些其他因素？