hogyan írjam le a jelszóhoz kapcsolódó szabályzatunkat az ügyfél biztonsági kérdőívében

A jelszóházirend az hozzáférés-kezelés része, nem a kriptográfiáé

A jelszóházirenddel kapcsolatos kérdés általában nem önálló kérdésként, hanem a hozzáférés-kezelésre vonatkozó szélesebb blokk részeként jelenik meg. Ezért ne csak a jelszó szabályait magát írja le — minimális hossz, összetettség, lejárati időszak —, hanem helyezze őket abba a kontextusba, hogy ki fér hozzá mely rendszerekhez és hogyan zajlik ennek kezelése. Az a kliens, aki a jelszóházirendet megkérdezi, valójában az identitás- és hozzáférés-kezelésről kérdez rá. Ha a hozzáférési házirend rögzítve van, beleértve a vállalati eszközök kezelését is, akkor a jelszóházirend ebből egy szabály, nem pedig önálló dokumentum.

Egy olyan szállítónál, aki maga biztonsági norma alá esik, az ügyfél többre számít, mint csak azt, hogy "a jelszavaknak legalább 8 karakter hosszúaknak kell lenniük". Írja le, hogy a jelszóházirendet technikailag kényszerítik-e (a tartományon vagy az identitásszolgáltatón keresztül), vagy csak papíron létezik, és hogy szükséges vagy ajánlott-e jelszókezelő. Említse meg azt is, hogy léteznek-e megosztott fiókok és azokkal hogyan bánnak — ez gyakran a következő kérdés. Ha hiányzik a formális jelszóházirend, őszintébb ezt jelezni, mint egy igennel válaszolni, amit az iratgyűjtemény nem tud alátámasztani; sok kliens elfogad egy kompenzáló intézkedést, például szükséges többtényezős hitelesítés a vállalati rendszerekhez való hozzáféréshez, a szigorú jelszóházirend alternatívájaként.

Ahol ez a tíz intézkedés között szerepel

A jelszóházirend a NIS2-irányelv 21. cikk (2) bekezdésében szereplő hozzáférés-ellenőrzési intézkedések közé tartozik, ahol a személyzet biztonságával és a vállalati eszközök kezelésével együtt az alkalmazandó tíz intézkedés egyikeként szerepel. Az ISO/IEC 27001 standardban ez az Annex A felügyeleti intézkedéseiben részletezve van, a hozzáférés-biztonság kategóriája alatt — ahol a jelszóházirendet kifejezetten a szélesebb körű hitelesítési házirendhez kapcsolják, nem pedig különálló technikai beállításokhoz. A Kiberbiztonsági törvény hatálya alá kerülő beszállítók esetében, amikor a törvény hatályba lép, várhatóan ugyanez az osztályozás érvényes, mivel a törvény az irányelv osztályozásán alapul.