küsimustik küsib meie paroolipoliitika kohta, kuidas ma sellele vastaksin

Paroolipolitiika kuulub juurdepääsukaitsmise alla, mitte eraldi autentimise alla

Paroolipolitiikale vastused annad tavaliselt koos laiema juurdepääsupoliitikaga: kes tohib millisesse süsteemi, kuidas seda antakse ja võetakse tagasi, ning millised nõuded kehtivad paroolide endi suhtes. Konkreetselt käib siin miinimuumpikkus, keerukus, kohustuslik muutmine kahtluse korral kuritarvitamisest, ja vanadate paroolide korduvkasutamise keeld. Paljud portaalid küsivad seda eraldi küsimusena, kuid ketendossier'is kuulub see juurde juurdepääsupoliitika alla, sealhulgas ettevõtte vahendite haldusse — seal määrad, milline poliitika kehtib ja kes sellele järelevalvet teeb.

Kui sul pole eraldi, dokumenteeritud paroolipolitiikat, kuid aga praktilised kokkulepped — näiteks paroolihalduri kaudu või Active Directory's jõustatud seadistused — siis piisab sellest sageli alusena, kui sa seda tõendada suudad. Kui dokumenteerimine puudub täiesti, siis on "ei" aus vastus; kahtluse sisestamine tõendina ei aita auditi ajal. Pöördu tähelepanu kombinatsioonile juurdepääsuks ettevõtte süsteemidele nõutav mitmefaktoriline autentimine": järjest rohkem kliente küsivad seda juurdepääsupoliitika täiendusena või asendusena, sest mitmeosaline autentimine nõrgale paroolile seatud riski suuresti vähendab.

Jälgitav artikli 21 lõike 2 ja Annex A juurde

Paroolipolitiika ei ole iseseisvalt kohustuslik, vaid juurdepääsukontroli meetmete väljatöötamine. NIS2-direktiivi (Direktiiv (EU) 2022/2555) artikli 21 lõikes 2 loetletakse juurdepääsukontroll ja vara haldamine kui üks kümnest kohustuslikust meetmest; paroolipolitiika on selle kõige konkreetsem rakendamine. ISO/IEC 27001 lisa A-s esineb see taas juurdepääsukontrolli ja autentimisteavet käsitlevate kontrollmeetmete all. Organisatsioon, kes on selle standardi sertifitseeritud, on paroolipolitiika peaaegu alati dokumenteerinud osana laiemast juurdepääsupoliitikast.