trebam znati kako izgleda naša politika lozinki

Politika lozinki dio je politike pristupa, a ne MFA-e

Upitnici obično postavljaju "politiku lozinki" kao odvojenu stavku, ali odgovor sadržajno pripada politiku pristupa, uključujući upravljanje nematerijalnom imovinomOpišite najmanje: minimalnu dužinu, zahtjeve za složenost, obveznu promjenu u slučaju sumnje na zlouporabu (ne standardno povremeno — to se sada smatra zastarjelim), i što se dogodi nakon određenog broja neuspješnih pokušaja prijave. Navedite i je li lozinka centralno upravljana putem upravitelja lozinki ili davatelja identiteta, ili je to prepušteno korisnicima.

Česta greška: odvojeno opisati politiku lozinki od viškefaktorske autentifikacije za pristup poslovnim sustavima, dok kupac često upravo želi znati je li slaba lozinka nadoknađena drugim faktorom. Stavite ta dva odgovora jedan pored drugoga u dossier lanca, čak i ako je za zahtjevaoca to dvoje odvojenih pitanja — to štedi objašnjenje koje inače moraš pisati iznova i iznova. Ako nemaš utvrđenu politiku lozinki, ali imaš obavezni upravitelj lozinki za sve, onda to opiši činjenično; "ne" s kratkim objašnjenjem potpuniji je odgovor nego "da" koji precjenjuje praksu.

Odakle ovo dolazi: članak 21 stavak 2 i Prilog A

Politika lozinki nije odvojena stavka u članku 21. stavku 2. Direktive NIS2; pada pod širu mjeru kontrole pristupa među te deset mjera. U ISO/IEC 27001 Annex A eksplicitnije se može pronaći kao kontrolna mjera unutar teme zaštite pristupa. Zahtjevaoci koji postavljaju pitanja o "politici lozinki" obično taj izraz preuzimaju iz Annex A, čak i ako se pozivaju na NIS2-obaveze — zato odgovor u praksi završi na istom mjestu u dossieru.