πώς περιγράφω τη δική μας πολιτική κωδικών πρόσβασης στη λίστα ερωτήσεων κυβερνοασφάλειας του πελάτη

Η πολιτική κωδικών πρόσβασης είναι μέρος του ελέγχου πρόσβασης, όχι της κρυπτογραφίας

Το ερώτημα σχετικά με την πολιτική κωδικών πρόσβασης δεν εμφανίζεται συνήθως ως ξεχωριστό ερώτημα, αλλά ως μέρος ενός ευρύτερου τμήματος σχετικά με τον έλεγχο πρόσβασης. Περιγράψτε επομένως όχι μόνο τους ίδιους τους κανόνες κωδικών πρόσβασης — ελάχιστο μήκος, πολυπλοκότητα, χρονικό όριο λήξης — αλλά τοποθετήστε τους στο πλαίσιο του ποιος έχει πρόσβαση σε ποιο σύστημα και πώς διαχειρίζεται αυτό. Ένας πελάτης που ρωτά σχετικά με την πολιτική κωδικών πρόσβασης, στην πραγματικότητα αναζητά τη διαχείριση ταυτότητας και πρόσβασης. Όταν η πολιτική πρόσβασης είναι τεκμηριωμένη μαζί με τη διαχείριση των περιουσιακών στοιχείων του οργανισμού, η πολιτική κωδικών πρόσβασης αποτελεί έναν κανόνα από αυτήν, όχι ένα ανεξάρτητο έγγραφο.

Για έναν προμηθευτή ο οποίος υπόκειται ο ίδιος σε ένα πρότυπο ασφάλειας, ο πελάτης αναμένει περισσότερα από το μόνο «οι κωδικοί πρόσβασης πρέπει να έχουν τουλάχιστον 8 χαρακτήρες». Περιγράψτε εάν η πολιτική κωδικών πρόσβασης επιβάλλεται τεχνικά (μέσω του τομέα ή του παρόχου ταυτότητας) ή υπάρχει μόνο στο χαρτί, και εάν ένας διαχειριστής κωδικών πρόσβασης απαιτείται ή συνιστάται. Αναφέρετε επίσης εάν υπάρχουν λογαριασμοί κοινής χρήσης και πώς αντιμετωπίζονται — αυτό είναι συχνά το επόμενο ερώτημα. Αν λείπει μια επίσημη πολιτική κωδικών πρόσβασης, είναι ειλικρινέστερο να το αναφέρετε παρά να επιλέξετε ναι που δεν μπορεί να υποστηριχθεί από το δοσιέ· πολλοί πελάτες δέχονται ένα αντιστάθμισμα μέτρο, όπως υποχρεωτική έλεγχος ταυτότητας πολλαπλών παραγόντων για πρόσβαση σε συστήματα του οργανισμού, ως εναλλακτικό για μια αυστηρή πολιτική κωδικών πρόσβασης.

Πού παρουσιάζεται αυτό στα δέκα μέτρα

Η πολιτική κωδικών πρόσβασης εμπίπτει στα μέτρα ελέγχου πρόσβασης του άρθρου 21 παράγραφος 2 της οδηγίας NIS2, όπου αναφέρεται μαζί με την ασφάλεια του προσωπικού και τη διαχείριση των περιουσιακών στοιχείων του οργανισμού ως ένα από τα δέκα μέτρα που πρέπει να ληφθούν. Στο ISO/IEC 27001 αυτό αναλύεται στους ελέγχους του Παραρτήματος A, κάτω από την κατηγορία ασφάλειας πρόσβασης — εκεί η πολιτική κωδικών πρόσβασης συνδέεται ρητά με την ευρύτερη πολιτική ελέγχου ταυτότητας, όχι με τις αυτόνομες τεχνικές ρυθμίσεις. Για προμηθευτές που θα υπόκειντο στον νόμο περί κυβερνοασφάλειας μετά την έναρξη ισχύος του, ισχύει προφανώς η ίδια ταξινόμηση, επειδή αυτός ο νόμος ακολουθεί την ταξινόμηση της οδηγίας.