kyselylomake kysyy, miltä salasanapoliitikkamme näyttää

Salasanakaava kuuluu pääsynhallintaan, ei salaukseen

Kysymys salasanakäytännöstä kuuluu pääsynhallintaan: kuka saa käyttää mitä järjestelmää ja miten sitä valvotaan. Asiakkaat kysyvät tätä yleensä erillisenä kysymyksenä, mutta ketjukansiossa se kuuluu pääsynhallintaan ja yritysvarojen hallintaan, ei salaukseen. Älä sekoita sitä: joissa kyselylomakkeissa "salasanakaava" ja "salaus" ovat vahingossa samassa osiossa, mutta ne ovat kaksi erilaista toimenpidettä NIS2-direktiivin 21 artiklan 2 kappaleen mukaan — pääsynvalvonta (kohdassa h) ja salaus (kohta h on laajempi, salaus on erillään direktiivin järjestöllisten toimenpiteiden joukossa).

Konkreettisesti pyydetty todiste on yleensä: vähimmäissalasananpituus, vaihtotiheys tai sen puuttuminen (uudempi käytäntö suosittelee joskus säännöllistä vaihtoa vastaan), ja käytetäänkö salasananhallintajärjestelmää tai kertakirjautumista. Jos sinulla ei ole erillistä dokumentoitua salasanakäytäntöä mutta sinulla on pääsynhallinnan käytäntö, joka sisältää tämän, se on usein riittävä perustodiste — vastaus riippuu siitä, kuinka tiukasti kysymys on muotoiltu. Jos salasanakäytäntö puuttuu kokonaan eikä myöskään ole olemassa monivaiheinen tunnistautuminen kompensaatiotoimenpiteenä, niin "ei" lyhyen selvityksen kanssa on rehellisempää kuin "kyllä", jota et voi perustella.

Missä se on ohjausasiakirjassa ja standardissa

Direktiivin (EU) 2022/2555 21 artiklan 2 kappale mainitsee pääsynvalvontakäytännön yhtenä kymmenestä pakollisesta toimenpiteestä yhteisöille, jotka kuuluvat direktiivin soveltamisalaan; salasananhallinta on siinä vakiotoiminto. ISO/IEC 27001 -standardissa se on avattu liitteessä A pääsynturvallisuuden valvontatoimenpiteiden alla. Hollannin käytäntöjen osalta on toistaiseksi relevantti itse direktiivi, koska Kyberturvallisuuslaki on voimassa 15. elokuuta 2026 alkaen. Jos epäilet, kuuluuko yrityksesi itsenäisesti tähän, se on erillinen kysymys, jonka vastaat erikseen kohdassa tai kuuluuko yritys itse NIS2-direktiivin soveltamisalaan.