kuidas kirjeldan meie paroolipoliitikat klendi turbevastuste küsimustikus

Paroolipoliitika on juurdepääsukontroli osa, mitte krüptograafia osa

Paripooli poliitikat käsitlev küsimus ei esine tavaliselt eraldi küsimusena, vaid laiemate juurdepääsukontroli plokki kuuluvate küsimuste osana. Sellepärast kirjelda mitte ainult parooli reegleid — minimaalne pikkus, keerukus, aegumistähtaeg — vaid paiguta need konteksti, kelle jaoks on juurdepääs milliste süsteemideni ja kuidas seda juhitakse. Klient, kes küsib paroolipoliitika kohta, küsib tegelikult identiteedihalduse ja juurdepääsukontroli kohta. Kui on kehtestatud juurdepääsupoliitika, sealhulgas ettevõtte vahendite haldamine, on paroolipoliitika sellest üks reegel, mitte eraldiseisev dokument.

Tarnija puhul, kes ise kuulub turvastandardite alla, ootab klient rohkem kui vaid "paroolid peavad olema vähemalt 8 märki". Kirjelda, kas paroolipoliitikat rakendatakse tehniliselt (domeeni või identiteedipakkuja kaudu) või ainult paberil, ning kas paroolihaldurit nõutakse või soovitatakse. Maini ka jagatavate kontode olemasolu ja nendega toimetulekut — see on sageli järgnev küsimus. Kui ametlikku paroolipoliitikat puudub, on ausam seda teatada kui jah märkida, mida dokumendid ei toeta; paljud kliendid aktsepteerivad kompensoivat meetmet, näiteks juurdepääsuks ettevõtte süsteemidele nõutav mitmefaktoriline autentimine, rangelt määratletud paroolipoliitika alternatiivina.

Kus see kümne meetme seas asub

Paroolipoliitika kuulub juurdepääsukontroli meetmete alla NIS2-direktiivi 21. artikli 2. lõikest, kus see on koos personaliturbe ja ettevõtte vahendite haldamisega üks neist kümnest võetavatest meetmetest. ISO/IEC 27001 lahendab seda käsitulevate juhtkontrollide kaudu Annex A-s, juurdepääsuturbe kategooria all — seal on paroolipoliitika selgelt seotud laiemate autentimispoliitika ning mitte eraldiseisvate tehislike sätetega. Tarnijatele, kes kuuluvad Küberturvalisuse seaduse alla, kui see jõustub, kehtib eeldatavasti sama jaotus, sest see seadus järgib direktiivi jaotust.