nad tahavad teada, milline on meie paroolipoliitika

Paroolide poliitika on osa juurdepääsupoliitikast, mitte MFA-st

Küsimustikud esitavad "paroolide poliitika" tavaliselt eraldi reana, kuid vastus kuulub sisulistelt juurdepääsupoliitika alla, sealhulgas ettevõtte vahendite haldusseKirjeldage vähemalt: minimaalne pikkus, keerukuse nõuded, kohustuslik muutmine kuritarvitamise kahtluse korral (mitte tavapärane perioodiline — seda peetakse nüüdseks vananenud lahenduseks) ja mis juhtub pärast mitut ebaõnnestunud sisselogimiskatsed. Märkige ka, kas paroole hallatakse kesklikult paroolihalduri või identiteedipakkuja kaudu, või reguleerivad kasutajad seda ise.

Sage viga: paroolide poliitika eraldi kirjeldamine multifaktorautentimisest ärisüsteemidele juurdepääsul, samas kui klient tahab tihti teada, kas nõrk parool on kompenseeritud teise teguriga. Pange need kaks vastust seega ketendossiis kõrvuti, isegi kui küsija esitab need kaheks eraldi küsimuseks — see säästab selgitust, mida sa muidu korduvalt tippida peaksid. Kui teil polnud kehtestatud paroolide poliitika, kuid paroolihaldur on kõigile kohustuslik, kirjeldage seda faktiliselt; "ei" lühikese selgitusega on täielikum vastus kui "jah", mis praktikat ülehindab.

Kust see pärineb: artikkel 21 lõige 2 ja Lisa A

Paroolide poliitika pole NIS2-direktiivi 21. artikli 2. lõike eraldi punkti; see kuulub juurdepääsukontroli laiema meetme alla nende kümne meetme hulgas. ISO/IEC 27001 Annex A-s on see selgelt jälgitav juurdepääsukaitse teemat käsitlevate juhtimismeetmete hulgas. Küsijad, kes küsivad "paroolide poliitika" kohta, tuletavad selle termini tavaliselt Annex A-st, isegi kui nad viitavad NIS2-kohustustele — seepärast jõuab vastus praktikas dossiis samasse kohta.