spørgeskemaet spørger om vores adgangskodelPolicy, hvordan skal jeg svare

Adgangskodepolitik falder under adgangskontrol, ikke under autentificering separat

Adgangskodepolitik besvarer du normalt sammen med den bredere adgangspolitik: hvem må få adgang til hvilket system, hvordan gives og tilbagekaldes denne adgang, og hvilke krav gælder for selve adgangskoderne. Konkret drejer det sig om minimumslængde, kompleksitet, obligatorisk ændring ved mistanke om misbrug, og forbud mod genbrug af gamle adgangskoder. Mange portaler stiller dette som et separat spørgsmål, men i kædensdossier hører det til under adgangspolitikken, herunder styringen af virksomhedsaktiver — der fastlægger du, hvilken politik der gælder, og hvem der fører tilsyn med den.

Hvis du ikke har en separat, dokumenteret adgangskodepolitik, men vel praksis-aftaler — for eksempel via en adgangskodehåndterer eller håndhævede indstillinger i Active Directory — er det ofte tilstrækkeligt som dokumentation, hvis du kan påvise det. Hvis der slet ikke er nogen dokumentation, er "nej" det ærlige svar; at udfylde en formodning som bevis hjælper ikke under en audit. Vær opmærksom på kombinationen med flerfaktorgodkendelse til adgang til virksomhedssystemer: stadig flere kunder stiller dette spørgsmål som supplement til eller erstatning for en streng adgangskodepolitik, fordi MFA i høj grad mindsker risikoen ved en svag adgangskode.

Kan føres tilbage til artikel 21, stk. 2 og Bilag A

Adgangskodepolitik er ikke en selvstændig forpligtelse, men en konkretisering af foranstaltninger omkring adgangskontrol. I artikel 21, stk. 2 i NIS2-direktivet (Direktiv (EU) 2022/2555) nævnes adgangskontrol og aktivforvaltning som et af de ti obligatoriske tiltag; adgangskodepolitik er den mest konkrete udmøntning heraf. I bilag A til ISO/IEC 27001 vises det igen under beheersmaatregeler for adgangsstyring og autentificerings-information. En organisation, der er certificeret efter denne norm, har normalt allerede dokumenteret adgangskodepolitik som en del af den bredere adgangspolitik.