ο πελάτης ρωτά για την πολιτική κωδικών πρόσβασης μας τι πρέπει να περιέχει

Η πολιτική κωδικών πρόσβασης εμπίπτει στον έλεγχο πρόσβασης, όχι στην κρυπτογραφία

Μια πολιτική κωδικών πρόσβασης περιγράφει τον τρόπο δημιουργίας, διαχείρισης και αντικατάστασης των κωδικών πρόσβασης: ελάχιστο μήκος και πολυπλοκότητα, υποχρεωτική αλλαγή σε περίπτωση ύποπτης κατάχρησης, απαγόρευση επαναχρησιμοποίησης παλιών κωδικών πρόσβασης, και ο τρόπος αποθήκευσης των κωδικών πρόσβασης (με κατακερματισμό, όχι σε απλό κείμενο). Οι πελάτες το ζητούν συνήθως ως μέρος της πολιτικής ελέγχου πρόσβασης, συμπεριλαμβανομένης της διαχείρισης των περιουσιακών στοιχείων της επιχείρησης, όχι ως ξεχωριστό ζήτημα κρυπτογραφίας. Αυτή η διάκριση είναι σχετική για το ποιο αποτέλεσμα συμπληρώνεις: η κρυπτογράφηση δεδομένων αφορά κάτι διαφορετικό από τον τρόπο σύνδεσης ενός χρήστη.

Αυτό που συχνά λείπει δεν είναι η ίδια η πολιτική, αλλά η απόδειξη ότι εφαρμόζεται: μια τεχνική ρύθμιση στο σύστημα ταυτότητας (Azure AD, Okta, ή παρόμοια) που επιβάλλει ελάχιστες απαιτήσεις, αντί για ένα έγγραφο που αναμένεται να διαβάσουν οι υπάλληλοι. Εάν δεν διαθέτεις αυτή την απόδειξη, μην συμπληρώσεις "ναι" στο ερώτημα αν η πολιτική εφαρμόζεται — μόνο στο ερώτημα αν υπάρχει πολιτική, εάν αυτό το έγγραφο υπάρχει πράγματι. Όλο και περισσότερο, μια αυτόνομη πολιτική κωδικών πρόσβασης θεωρείται λιγότερο σχετική από το ερώτημα αν η πολυπλέκτορη ταυτοποίηση υποχρεωτική: ένας ισχυρός κωδικός πρόσβασης με MFA ζυγίζει στην πράξη περισσότερο από έναν μεγάλο κωδικό πρόσβασης χωρίς MFA.

Όπου αυτό αναφέρεται στο πρότυπο και την κατευθυντήρια γραμμή

Το ISO/IEC 27001 αντιμετωπίζει τη διαχείριση κωδικών πρόσβασης κάτω από τα μέτρα ελέγχου του ελέγχου πρόσβασης στο Παράρτημα A (οι πληροφορίες ταυτοποίησης είναι ένας ξεχωριστός έλεγχος εκεί). Η Οδηγία (ΕΕ) 2022/2555 αναφέρει τον έλεγχο πρόσβασης και την ταυτοποίηση ως ένα από τα δέκα μέτρα του άρθρου 21 παράγραφος 2, χωρίς ωστόσο να προβλέπει συγκεκριμένους κανόνες κωδικών πρόσβασης — η Οδηγία αφήνει την τεχνική εφαρμογή στην οργανισμό. Μια λίστα ερωτήσεων που ρωτά για την "πολιτική κωδικών πρόσβασης" συνεπώς μεταφράζει συνήθως μία από αυτές τις δύο πηγές σε ένα συγκεκριμένο, ελεγχόμενο ερώτημα.