kako opisujem našu politiku lozinki u sigurnosnom upitniku klijenta

Politika lozinki dio je upravljanja pristupom, a ne kriptografije

Pitanje o politici lozinki obično se ne pojavljuje kao zasebno pitanje, već kao dio šireg bloka o upravljanju pristupom. Stoga ne opisujte samo sami pravila lozinki — minimalnu duljinu, složenost, rok isteka — već ih postavite u kontekst tko ima pristup kojem sustavu i kako se to upravlja. Klijent koji pita o politici lozinki, zapravo pita o upravljanju identitetom i pristupom. Ako je politika pristupa установљена uključujući upravljanje poslovnim sredstvima, politika lozinki je jedno pravilo iz toga, a ne samostalan dokument.

Za dobavljača koji sam pada pod sigurnosnu normu, klijent očekuje više od samo "lozinke moraju imati najmanje 8 znakova". Opišite je li politika lozinki tehnički provedena (putem domene ili pružatelja identiteta) ili samo na papiru, te je li upravitelj lozinki obavezan ili preporučen. Spomenite i postoje li zajednički računi i kako se s njima postupa — to je često nastavno pitanje. Ako nedostaje formalna politika lozinki, iskrenije je to prijaviti nego označiti da sa potvrdnom oznakom koju dossier ne može poduprijeti; mnogi klijenti prihvaćaju kompenzacijsku mjeru, kao što je obavezna višefaktorska autentifikacija za pristup poslovnim sustavima, kao alternativa striktnoj politici lozinki.

Gdje se ovo nalazi u deset mjera

Politika lozinki pada pod mjere kontrole pristupa u članku 21. stavak 2. NIS2 Direktive, gdje se zajedno sa zaštitom osoblja i upravljanjem poslovnih sredstava spominje kao jedna od deset mjera koje se trebaju poduzeti. U normi ISO/IEC 27001 ovo je razrađeno u kontrolama u Aneksu A, pod kategorijom sigurnost pristupa — gdje se politika lozinki izričito povezuje sa širom politikom autentifikacije, a ne sa zasebnim tehničkim postavkama. Za dobavljače koji će podpadati pod Zakon o kibernetičkoj sigurnosti čim stupimo na snagu, očekuje se ista podjela, jer taj zakon slijedi podjelu Direktive.