jak popisu naši politiku hesel v dotazníku zabezpečení zákazníka

Zásada používání hesel je součástí správy přístupu, nikoli kryptografie

Otázka na zásadu používání hesel se obvykle neobjevuje jako samostatná otázka, ale jako součást širšího bloku o správě přístupu. Neopisujte tedy pouze samotná pravidla hesel — minimální délku, složitost, dobu platnosti — ale umístěte je do kontextu toho, kdo má přístup k jakému systému a jak se to spravuje. Zákazník, který se ptá na zásadu používání hesel, se vlastně ptá na správu identit a přístupu. Jakmile je zásada přístupu stanovena včetně správy majetku společnosti, je zásada používání hesel z ní jedním pravidlem, nikoli samostatným dokumentem.

U dodavatele, který sám podléhá norně zabezpečení, očekává zákazník víc než pouze "hesla musí mít minimálně 8 znaků". Popište, zda je zásada používání hesel technicky vynucována (prostřednictvím domény nebo poskytovatele identity) nebo pouze na papíře, a zda je správce hesel povinný nebo doporučený. Také uveďte, zda existují sdílené účty a jak se s nimi zachází — to je často následující otázka. Pokud formální zásada používání hesel chybí, je poctivější to oznámit než zaškrtnout ano, které seznam nemůže podpořit; mnoho zákazníků přijme náhradní opatření, jako je povinná vícefaktorová autentizace pro přístup k systémům společnosti, jako alternativu k přísné zásadě používání hesel.

Kde se to vyskytuje v deseti opatřeních

Zásada používání hesel spadá pod opatření kontroly přístupu v článku 21 odst. 2 směrnice NIS2, kde je spolu se zabezpečením personálu a správou majetku společnosti uvedena jako jedno z deseti opatření, která je třeba přijmout. V normě ISO/IEC 27001 je to vypracováno v kontrolních opatřeních přílohy A v kategorii zabezpečení přístupu — zde je zásada používání hesel výslovně propojena s širší zásadou autentizace, nikoli s izolovanými technickými nastaveními. Pro dodavatele, kteří budou podléhat Zákonu o kybernetické bezpečnosti jakmile vstoupí v platnost, bude platit veškeré označení, protože tento zákon následuje označení směrnice.