kyselylomake kysyy salasanapoliittikastamme, onko se kirjattava

Salasanakäytäntö kuuluu pääsynhallintakäytäntöön, ei erilliseksi

Kyllä, kirjallisesti dokumentoitu salasanakäytäntö on standardi, jota kyselylomake odottaa — mutta kysymys itse on yleensä laajempi kuin pelkät salasanat. Artiklan 21 kohdan 2 NIS2-direktiivissä ei mainita erillistä "salasanakäytäntöä" itsenäisenä toimenpiteenä; salasanat kuuluvat kohtaan (i), pääsynhallintakäytäntö, ja kohtaan (j), monitekijäisen tunnistautumisen käyttö. Jos kyselylomake kysyy nimenomaan salasanakäytännöstä, yleensä tarkistetaan, kuuluuko se laajempaan pääsynpolitiikka kirjallisesti dokumentoitu: kuka saa mitä oikeuksia, miten salasana rakentuu, kuinka usein se vaihdetaan, mitä tapahtuu työsuhteen päättyessä.

Jos sinulla ei ole erillistä asiakirjaa, kysymys on, onko käytäntö muualla jo käytössä — esimerkiksi laajemmassa tietoturvakäytännössä tai tunnistetiedon ja pääsynhallintajärjestelmäsi asetuksissa. ISO 27001 Annex A toimii samalla logiikalla: salasanoille ei ole erillistä kontrollia, mutta kontrolli A.5.17 (todentamistieto) kuuluu pääsynhallinnan teemaan. Jos sinulla ei ole ISO-sertifikaattia eikä erillistä asiakirjaa, "ei" on tällä hetkellä oikea vastaus erilliseen salasanakysymykseen — mahdollisesti täydennettynä huomautuksella, että monitekijäinen todentaminen on kuitenkin käytössä, mikä usein painaa enemmän kuin salasanakäytäntö itse. Jälkimmäinen on erillinen kysymys monissa lomakkeissa, katso kysymys monitekijäisesta todentamisesta.

Mistä tämä johtuu: artiklan 21 kohdan 2 alapykälät i ja j

Direktiivin (EU) 2022/2555 artiklan 21 kohdan 2 alapykälä (i) mainitsee "käytännöt ja toimenpiteet, jotka koskevat salauksen käyttöä ja tarvittaessa salausta" — ei salasanojen lähteenä, jotka kuuluvat "pääsynhallintakäytäntöön" (alapykälä i kymmenen toimenpiteen yleisessä käännöksessä) ja monitekijäiseen todentamiseen (alapykälä j). Kyberturvallisuuslaki ottaa tämän jaottelun käyttöön, kun se tulee voimaan 15. elokuuta 2026. ISO/IEC 27001 Annex A sijoittaa salasanojen hallinnan samoin laajemman pääsynhallinnan teeman alle, ei itsenäisenä kontrollina.