ο πελάτης ρωτά για την πολιτική κωδικών πρόσβασης μας τι πρέπει να απαντήσω

Η πολιτική για τους κωδικούς πρόσβασης είναι μέρος του ελέγχου πρόσβασης, όχι κρυπτογραφία

Η πολιτική για τους κωδικούς πρόσβασης εμπίπτει στον έλεγχο πρόσβασης, όχι στην κρυπτογραφία ή την ταυτοποίηση ξεχωριστά. Αν το ερωτηματολόγιο ζητά πληροφορίες σχετικά με "password policy" ή "wachtwoordbeleid", συνήθως ελέγχεται εάν υπάρχουν ελάχιστες απαιτήσεις: ελάχιστο μήκος, πολυπλοκότητα, υποχρεωτική αλλαγή σε περίπτωση ύποπτης παραβίασης και απαγόρευση επαναχρησιμοποίησης παλιών κωδικών πρόσβασης. Επαρκές είναι ένα έγγραφο πολιτικής που περιέχει αυτά τα σημεία, συν μια τεχνική ρύθμιση που τα επιβάλλει — όχι απλώς κατευθυντήριες γραμμές που ο προσωπικό θεωρείται ότι θα πρέπει να ακολουθεί. Αν λείπει το έγγραφο αλλά η ρύθμιση είναι σωστή στο Active Directory ή τον πάροχο ταυτοποίησης, αυτό συχνά αρκεί ήδη ως απόδειξη· ένα στιγμιότυπο οθόνης της πολιτικής στη διαχείριση συστήματος είναι τότε επαρκές.

Αν δεν έχετε ξεχωριστή πολιτική για τους κωδικούς πρόσβασης αλλά έχετε υποχρεωτική πολυπλοκή ταυτοποίηση για όλα τα εταιρικά συστήματα, τότε αυτή η απάντηση είναι συχνά ισχυρότερη από μια πολιτική κωδικών πρόσβασης μόνη της — πολλά ερωτηματολόγια το ζητούν αυτό ως ξεχωριστό σημείο, δείτε εάν απαιτείται πολυπλοκή ταυτοποίηση για την πρόσβαση στα εταιρικά συστήματα". Συμπληρώστε το ως συμπλήρωμα, όχι ως αντικατάσταση: ένας πελάτης που ζητά συγκεκριμένα πολιτική κωδικών πρόσβασης, θέλει αυτό το σημείο να απαντηθεί ξεχωριστά. Αν δεν έχετε τίποτα καθορισμένο, τότε ένα "όχι" με μια εξήγηση ότι η πολυπλοκή ταυτοποίηση είναι υποχρεωτική, είναι συχνά πιο ειλικρινές και πληρέστερο από μια ασαφή "ναι" σε μια ερώτηση που δεν μπορείτε να υποστηρίξετε με ένα έγγραφο.

Όπου αυτό αναφέρεται στο πρότυπο και την κατευθυντήρια γραμμή

ISO/IEC 27001 Annex A περιέχει ένα ειδικό μέτρο ελέγχου για πληροφορίες ταυτοποίησης, συμπεριλαμβανομένης της διαχείρισης κωδικών πρόσβασης· όποιος έχει πιστοποίηση για αυτό, μπορεί να παραπέμψει σε αυτό ως απόδειξη, δείτε ή αν η επιχείρηση είναι πιστοποιημένη ISO 27001". Το NIS2 δεν αναφέρει την πολιτική κωδικών πρόσβασης ως ξεχωριστό σημείο μεταξύ των δέκα μέτρων του άρθρου 21 παράγραφος 2 — εμπίπτει στην ευρύτερη κατηγορία ελέγχου πρόσβασης και ασφάλειας συστημάτων. Τα ερωτηματολόγια που παραπέμπουν στο NIS2, συχνά μεταφράζουν αυτό το ευρύτερο σημείο μόνα τους σε ένα συγκεκριμένο ερώτημα σχετικά με κωδικούς πρόσβασης· η υποκείμενη απαίτηση είναι τότε η πολιτική πρόσβασης στο σύνολό της, όχι ειδικά οι κωδικοί πρόσβασης.