a kérdőív azt szeretné tudni, milyen a jelszókezelési politikánk

A jelszóházirend a hozzáférés-vezérlésbe tartozik, nem a kriptográfiába

A jelszóházirendre vonatkozó kérdés a hozzáférés-vezérlésbe tartozik: ki férhet hozzá mely rendszerhez, és hogyan ellenőrzik ezt. Az ügyfelek általában külön kérdésként teszik fel ezt, de az ellátási lánc dossziéban a hozzáférési szabályzat és az üzleti eszközök kezeléseide tartozik, nem a titkosításhoz. Ne keverd össze: egyes kérdőívek a "jelszóházirendet" és a "titkosítást" véletlenül ugyanabba a szekciójába helyezik, de ezek két különböző intézkedés az NIS2 21. cikkének 2. bekezdéséből — hozzáférés-vezérlés (h alatt) és kriptográfia (h alatt szélesebb körben, a titkosítás külön az adott bekezdés szervezeti intézkedései között szerepel).

Konkréten a kért bizonyíték általában: minimális jelszóhossz, cserefrekvencia, vagy éppen ennek hiánya (az újabb gyakorlat néha ellenzi az időszakos cserét), valamint hogy használ-e jelszókezelőt vagy egyszeri bejelentkezést. Ha nincs külön dokumentált jelszóházirenddel, de van olyan hozzáférés-vezérlési házirend, amely ezt tartalmazza, akkor ez gyakran elegendő lehet az alapul szolgáló bizonyítékként — a válasz attól függ, hogy mennyire szigorúan megfogalmazott a kérdés. Ha a jelszóházirend teljesen hiányzik, és nincs is többfaktoros hitelesítés kompenzáló intézkedésként, akkor egy "nem" rövid indoklással őszintébb, mint egy "igen", amelyet nem tudsz alátámasztani.

Ahol ez az irányelvben és a normában szerepel

Az (EU) 2022/2555 Irányelv 21. cikkének 2. bekezdése az irányelvbe tartozó szervezetek számára kötelező tíz intézkedés egyikeként nevez meg hozzáférés-vezérlési házirendet; a jelszókezelés ennek standard összetevője. Az ISO/IEC 27001 ezt az Annex A-ban részletezi, a hozzáférés-vezérlésre vonatkozó vezérlőintézkedések alatt. A holland gyakorlatban jelenleg magát az irányelvet kell számításba venni, mivel a Cybertörvény 2026. augusztus 15-én lép érvénybe. Ha kétségei vannak abban, hogy vállalkozásod önmagában e hatálya alá tartozik-e, akkor ez egy külön kérdés, amelyet külön válaszolsz meg az vagy a vállalkozás maga az NIS2-irányelv hatálya alá tartozik-e.