zákazník se ptá na naši politiku hesel, jak mám odpovědět

Politika hesel je součástí řízení přístupu, nikoli kryptografie

Politika hesel spadá pod řízení přístupu, nikoli pod kryptografii nebo autentifikaci samostatně. Ptá-li se seznam na "password policy" nebo "politiku hesel", obvykle se kontroluje, zda jsou stanoveny minimální požadavky: minimální délka, složitost, povinná změna v případě podezření na ohrožení a zákaz opětovného použití starých hesel. Dostatečné je politické prohlášení, v němž jsou tyto body zahrnuty, plus technické nastavení, které je vynucuje — nikoli pouze pokyn, který mají zaměstnanci dodržovat. Pokud chybí dokument, ale nastavení je správné v Active Directory nebo ve zprostředkovateli identity, často to stačí jako důkaz; snímek obrazovky zásady ze správy systému pak postačuje.

Nemáš-li samostatnou politiku hesel, ale máš-li vynucenou vícefaktorovou autentifikaci pro všechny firemní systémy, je tato odpověď často silnější než samotná politika hesel — mnoho seznamů se na to ptají jako na samostatný bod, viz nebo je vícefaktorová autentifikace povinná pro přístup k firemním systémům". Vyplň to jako doplněk, nikoli jako náhradu: zákazník, který se konkrétně ptá na politiku hesel, chce vidět tento bod zodpovězen samostatně. Nemáš-li nic zdokumentováno, pak je "ne" s vysvětlením, že MFA je povinná, často poctivější a úplnější než vágní "ano" na otázku, kterou nemůžete podložit dokumentem.

Kde se to vyskytuje v normě a pokynech

ISO/IEC 27001 Příloha A obsahuje specifické opatření pro správu autentifikačních informací, včetně správy hesel; kdo je pro to certifikován, může se na to odkazovat jako na důkaz, viz zda je podnik certifikován dle ISO 27001". NIS2 sám nepopisuje politiku hesel jako samostatný bod mezi deseti opatřeními čl. 21 odst. 2 — spadá to pod širší kategorii kontroly přístupu a bezpečnosti systémů. Dotazníky odkazující se na NIS2 si tento širší bod často sami překládají na konkrétní otázku týkající se hesel; základní požadavkem je pak ceková politika přístupu, nikoli hesel zvlášť.