klausimas paklausimas apie mūsų slaptažodžio politiką, kaip turėčiau atsakyti

Slaptažodžio politika patenka į prieigos saugą, o ne į autentifikavimą atskirai

Slaptažodžio politikai paprastai atsakyti kartu su platesne prieigos politika: kas gali pasiekti kurią sistemą, kaip tai suteikiama ir atšaukiama, bei kokie reikalavimai galioja patiems slaptažodžiams. Konkrečiai tai apima minimalų ilgį, sudėtingumą, privalomą keitimą įtarus piktnaudžiavimą ir draudimą pakartotinai naudoti senus slaptažodžius. Daugelis portalų tai klausia kaip atskirą klausimą, tačiau grandinės archyve tai priklauso prie prieigos politiką, įskaitant verslo išteklių valdymą — čia nustatyti, kokia politika yra ir kas ją prižiūri.

Jei neturi atskiros, dokumentuotos slaptažodžio politikos, bet yra praktinės sutartys — pavyzdžiui, per slaptažodžio tvarkyklę arba priverstus nustatymus „Active Directory kelių veiksnių autentifikacija, skirta prieigai prie įmonės sistemų,— tai dažnai pakanka pagrindimui, jei sugebėsi tai įrodyti. Jei nėra jokios nustatytos politikos, „ne

Grįžti prie 21 straipsnio 2 dalies ir A priedo

Slaptažodžio politika nėra savarankiškas reikalavimas, bet prieigos kontrolės priemonių konkretizavimas. NIS2 direktyvos (Direktyva (ES) 2022/2555) 21 straipsnio 2 dalyje prieigos kontrolė ir turto valdymas yra nurodomi kaip viena iš dešimties privalomų priemonių; slaptažodžio politika čia yra labiausiai konkretus jos įgyvendinimas. ISO/IEC 27001 A priede tai atitinka prieigos valdymo ir autentifikavimo informacijos saugumo priemones. Organizacija, kuri turi sertifikatą dėl šios normos, beveik visada jau turi dokumentuotą slaptažodžio politiką kaip platesnės prieigos politikos dalį.