kaip apibūdinti mūsų slaptažodžio politiką klausimyne

Slaptažodžio politika yra prieigos kontrolės dalis, o ne šifravimo dalis

Klausimas apie slaptažodžio politiką dažniausiai nėra pateikiamas kaip atskiras klausimas, bet kaip platesnio bloko apie prieigos kontrolę dalis. Todėl aprašykite ne tik pačias slaptažodžio taisykles — minimalų ilgį, sudėtingumą, galiojimo laiką — bet ir nurodykite jų vietą kontekste, kuriame nustatoma, kas turi prieigą prie kurios sistemos ir kaip ta prieiga yra valdoma. Kliento klausimas apie slaptažodžio politiką iš esmės yra klausimas apie tapatybės ir prieigos valdymą. Jei prieigos politika nustatyta, įskaitant verslo išteklių valdymą, slaptažodžio politika yra viena iš šios politikos taisyklių, o ne atskiras dokumentas.

Kai tiekėjas pats yra susijęs su saugumo standartais, kliento tikimasi daugiau nei tik "slaptažodžiai turi būti mažiausiai 8 simbolių". Aprašykite, ar slaptažodžio politika yra techniškai įgyvendinama (per domeną ar tapatybės teikėją), ar tik teoriškai nustatyta, ir ar slaptažodžio tvarkytuvė yra privaloma ar rekomenduojama. Taip pat nurodykite, ar egzistuoja bendrintos paskyros ir kaip su jomis elgiamasi — tai dažnai būna tolesnias klausimas. Jei formalios slaptažodžio politikos nėra, sąžiningiau yra tai pranešti, nei spustelėti taip, kuris negali paremti dossier; daugelis klientų priima kompensuojamą priemonę, pavyzdžiui, privalomą kelių veiksnių autentifikacija, skirta prieigai prie įmonės sistemų, kaip alternatyva griežtai slaptažodžio politikai.

Kur tai yra dešimt priemonių

Slaptažodžio politika patenka į prieigos kontrolės priemones, numatytas NIS2 direktyvos 21 straipsnio 2 dalyje, kur ji kartu su darbuotojų saugumo ir verslo išteklių valdymu yra paminėta kaip viena iš dešimties priemonių, kurias reikia imtis. ISO/IEC 27001 standarte tai išsamiai aprašyta Priedo A valdymo priemonėse, prieigos saugumo kategorijoje — čia slaptažodžio politika yra aiškiai susieta su platesne autentifikacijos politika, o ne su atskirus techninius nustatymus. Tiekėjams, kurie bus veikiami Kibernetinio saugumo įstatymo, kai jis pradės galioti, tikėtina, bus taikomas tas pats padalijimas, nes tas įstatymas seka direktyvoje numatytą padalijimą.