popis pitanja pita o našoj politici lozinki kako trebam odgovoriti

Pravila za lozinke spadaju pod kontrolu pristupa, a ne pod autentifikaciju zasebno

Pitanja o pravilima za lozinke obično odgovaraš zajedno s širom politikom pristupa: tko smije pristupiti kojem sustavu, kako se pristup dodjeljuje i oduzima, te koja pravila vrijede za same lozinke. Konkretno se radi o minimalnoj duljini, složenosti, obveznoj promjeni u slučaju sumnje na zlouporabu, te zabrani ponovne upotrebe starih lozinki. Mnogi portali postavljaju ovo kao zasebno pitanje, ali u dosijeru lanca to spada u politiku pristupa, uključujući upravljanje nematerijalnom imovinom — tamo propisuješ koja politika postoji i tko je nadzire.

Ako nemaš posebnu, dokumentiranu politiku lozinki, ali imaš praktične dogovore — primjerice kroz upravitelja lozinki ili nametnute postavke u Active Directoryju — to je često dovoljno kao opravdanje, pod uvjetom da to možeš dokazati. Ako nedostaje svaka dokumentacija, tada je "ne" pošten odgovor; zaključak popuniti kao dokaz ne pomaže pri reviziji. Obrati pažnju na kombinaciju s višefaktorska autentifikacija za pristup poslovnim sustavima: sve više klijenti traže ovo kao dopunu ili zamjenu za stroga pravila lozinki, jer MFA uvelike smanjuje rizik od slabe lozinke.

Može se pratiti do članka 21 stavka 2 i Aneksa A

Pravila za lozinke nisu samostalna obveza već razrada mjera za kontrolu pristupa. U članku 21. stavak 2. NIS2 direktive (Direktiva (EU) 2022/2555) kontrola pristupa i upravljanje imovinom navedeni su kao jedna od deset obveznih mjera; pravila za lozinke su tu najkonkretnija primjena. U Prilogu A norme ISO/IEC 27001 to se pojavljuje pod mjerama nadzora za upravljanje pristupom i informacije o autentifikaciji. Organizacija koja je certificirana za tu normu gotovo uvijek već ima dokumentiranu politiku lozinki kao dio šire politike pristupa.