Η έρευνα ζητά την πολιτική κωδικών πρόσβασης της εταιρείας μας πώς πρέπει να το απαντήσω

Η πολιτική κωδικών πρόσβασης εμπίπτει στον έλεγχο πρόσβασης, όχι στην αυθεντικοποίηση ξεχωριστά

Η πολιτική κωδικών πρόσβασης απαντάται συνήθως μαζί με την ευρύτερη πολιτική πρόσβασης: ποιος μπορεί να έχει πρόσβαση σε ποιο σύστημα, πώς παρέχεται και ανακαλείται αυτή η πρόσβαση, και ποιες απαιτήσεις ισχύουν για τους ίδιους τους κωδικούς πρόσβασης. Συγκεκριμένα, αφορά το ελάχιστο μήκος, την πολυπλοκότητα, την υποχρεωτική αλλαγή σε περίπτωση ύποπτης κακής χρήσης και την απαγόρευση επαναχρησιμοποίησης παλιών κωδικών πρόσβασης. Πολλές πύλες το ζητούν ως ξεχωριστή ερώτηση, αλλά στο αρχείο της αλυσίδας αυτό ανήκει σε την πολιτική πρόσβασης, συμπεριλαμβανομένης της διαχείρισης των περιουσιακών στοιχείων της εταιρείας — εκεί καταγράφεις ποια πολιτική ισχύει και ποιος την επιβλέπει.

Αν δεν έχεις ξεχωριστή, τεκμηριωμένη πολιτική κωδικών πρόσβασης αλλά έχεις πρακτικές συμφωνίες — για παράδειγμα μέσω ενός διαχειριστή κωδικών πρόσβασης ή επιβεβλημένων ρυθμίσεων στο Active Directory — αυτό συχνά είναι επαρκές ως τεκμηρίωση, εφόσον μπορείς να το αποδείξεις. Αν λείπει κάθε καταγραφή, τότε το "όχι" είναι η ειλικρινής απάντηση· η συμπλήρωση ενός υπονοούμενου ως απόδειξη δεν βοηθά σε έναν έλεγχο. Προσοχή στον συνδυασμό με έλεγχος ταυτότητας πολλαπλών παραγόντων για πρόσβαση σε συστήματα του οργανισμού": όλο και περισσότεροι πελάτες το ζητούν ως προσθήκη ή αντικατάσταση ενός αυστηρού κωδικού πρόσβασης, επειδή η MFA μειώνει σε μεγάλο βαθμό τον κίνδυνο ενός αδύναμου κωδικού πρόσβασης.

Ανάγεται στο άρθρο 21 παράγραφος 2 και Παράρτημα Α

Η πολιτική κωδικών πρόσβασης δεν είναι υποχρέωση αυτή καθ' αυτή αλλά μια υλοποίηση των μέτρων γύρω από τον έλεγχο πρόσβασης. Στο άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 (Οδηγία (ΕU) 2022/2555) αναφέρονται ο έλεγχος πρόσβασης και η διαχείριση περιουσιακών στοιχείων ως ένα από τα δέκα υποχρεωτικά μέτρα· η πολιτική κωδικών πρόσβασης είναι η πιο συγκεκριμένη υλοποίηση αυτού. Στο Παράρτημα A του ISO/IEC 27001 εμφανίζεται αυτό ξανά υπό τα μέτρα ελέγχου για τη διαχείριση πρόσβασης και πληροφορίες αυθεντικοποίησης. Ένας οργανισμός που είναι πιστοποιημένος για αυτό το πρότυπο έχει σχεδόν πάντα ήδη τεκμηριωμένη πολιτική κωδικών πρόσβασης ως μέρος της ευρύτερης πολιτικής πρόσβασης.