tudni szeretnék, hogyan néz ki a jelszóhoz kapcsolódó szabályzatunk

A jelszókezelési szabályzat a hozzáférési szabályzat része, nem az MFA-nak

A kérdőívek a "jelszókezelési szabályzatot" általában külön sorként tüntetik fel, de a válasz tartalmilag ehhez tartozik a hozzáférési szabályzat, beleértve a vállalati eszközök kezelését. Írja le a minimális hosszat, az összetettségi követelményeket, a kötelező megváltoztatást a visszaélés gyanúja esetén (nem szokásos periodikus megváltoztatás — ezt mára elavultnak tekintik), és hogy mi történik több sikertelen bejelentkezési kísérlet után. Említse meg azt is, hogy a jelszavakat központilag egy jelszókezelő vagy identitásszolgáltató kezeli-e, vagy a felhasználók maguk kezelik.

A gyakori hiba: a jelszókezelési szabályzatot külön írni a szervezeti rendszerekhez való hozzáférés multifaktoros hitelesítésétől, miközben az ügyfél gyakran szeretné tudni, hogy a gyenge jelszó kompenzálódik-e egy második faktorral. Ezért helyezze el ezt a két választ egymás mellett a láncdokumentumban, még akkor is, ha a kérdezőnek két külön kérdésbe kerül — így megtakaríthat egy olyan magyarázatot, amelyet egyébként újra és újra kell gépelnie. Ha nincs megállapított jelszószabályzata, de jelszókezelőt kötelezően előír mindenki számára, akkor írja le tényszerűen; a "nem" egy rövid magyarázattal teljesebb válasz, mint egy "igen", amely túlértékeli a gyakorlatot.

Ezek forrása: a 21. cikk (2) bekezdése és az A melléklet

A jelszószabályzat nem jelenik meg külön pontként az NIS2-irányelv 21. cikk 2. bekezdésében; ez az átfogóbb hozzáférés-ellenőrzési intézkedés részét képezi az azon tíz intézkedés közül. Az ISO/IEC 27001 A mellékletében explicitebben megtalálható, mint a hozzáférés-biztonsági téma keretében végzett kontrollintézkedés. A "jelszószabályzatra" rákérdező kérdezők ezt a kifejezést általában az A mellékletből kölcsönzik, még akkor is, ha az NIS2-kötelezettségekre hivatkoznak — ezért kerül az adott gyakorlatban az adott válasz a dokumentum azonos helyére.