klient küsib meie paroolipoliitika kohta, mida peab seal olema

Paroolipoliitika kuulub juurdepääsukontrolli alla, mitte krüptograafia alla

Paroolipoliitika kirjeldab, kuidas paroole luuakse, hallatakse ja asendatakse: minimaalne pikkus ja keerukus, kohustuslik vahetamine kahtluse korral kuritarvitamise osas, keeld vanade paroolide taaskasutamisele ja viis, kuidas paroole säilitatakse (räsitud, mitte lihttekstis). Kliendid küsivad seda tavaliselt osana juurdepääsupoliitikast, sealhulgas ettevõtte varade haldamisest, mitte eraldi krüptograafia küsimusena. See erinevus on oluline, et teada, milline vastus tuleb sisestada: andmete krüptimine käsitleb midagi muud kui see, kuidas kasutaja sisse logib.

Sageli puudub mitte poliitika ise, vaid tõendus selle jõustamisest: tehniline seadistus identiteedisüsteemis (Azure AD, Okta või sarnane), mis rakendab miinimumnõudeid, selle asemel et kasutada dokumenti, mida töötajad peaksid lugema. Kui teil seda tõendust ei ole, siis ärge sisestage "jah" küsimusele, kas poliitika jõustatakse — sisestage see ainult küsimusele, kas poliitika on olemas, kui see dokument tegelikult olemas on. Üha sagedamini peetakse eraldi paroolipoliitika vähem oluliseks kui küsimust, kas mitmefaktoriga autentimine on kohustuslik: tugev parool koos MFA-ga kaalub praktikas rohkem kui pikk parool ilma MFA-ta.

Kus see normis ja juhendis seisab

ISO/IEC 27001 käsitleb paroolihaldust juurdepääsukontrolli juhtimismeetmete all Lisas A (autentimisandmed on seal eraldi kontroll); Direktiiv (EL) 2022/2555 nimetab juurdepääsukontrolla ja autentimist üheks kaheksast artikli 21 lõike 2 meetmest, ilma selleks spetsiifilisi paroolireeglieid ette kirjutamata — direktiiv jätab tehnilise täitmise organisatsioonile. Küsimustik, mis küsib "paroolipoliitikast", tõlgib seega tavaliselt ühte neist kahest allikast konkreetseks, kontrollitavaks küsimuseks.