klausimynas klausia apie mūsų slaptažodžio politiką, ar ji turi būti rašytinė

Slaptažodžio politika priklauso prieigos politikai, o ne atskirai

Taip, rašytine forma nustatyta slaptažodžio politika yra norma, kurios tikisi klausimynas — tačiau pats klausimas dažniausiai suprantamas plačiau nei tik slaptažodžiai. NIS2 direktyvos 21 straipsnio 2 dalies nenurodomas atskiras "slaptažodžio politika" kaip atskira priemonė; slaptažodžiai patenka į (i) punktą, prieigos kontrolės politiką, ir į (j) punktą, daugiafaktorinės autentifikacijos naudojimą. Jei klausimynas konkrečiai klausia apie slaptažodžio politiką, dažniausiai tikrinima, ar tai yra plačesnės prieigos politika rašytine forma nustatyta: kas gauna kokias teises, kaip sudaromas slaptažodis, kaip dažnai jis keičiamas, kas atsitinka atleidžiant iš pareigų.

Jei neturi atskiro dokumento, klausimai yra, ar politika jau yra kitur — pavyzdžiui, plačiesnėje informacijos saugumo politikoje arba jūsų tapatybės ir prieigos valdymo sistemos nustatymuose. ISO 27001 A priedas taikyti tą pačią logiką: nėra atskiros slaptažodžio kontrolės, bet A.5.17 kontrolė (autentifikacijos informacija) patenka į prieigos valdymo temą. Jei neturi ISO sertifikato ir atskiro dokumento, tada šiuo metu "ne" yra teisingas atsakymas į atskirtą slaptažodžio klausimą — galbūt su paaiškiningu, kad daugiafaktorinė autentifikacija yra sukonfigūruota, kuri dažnai labiau vertinama nei pats slaptažodžio politika. Tai yra atskiras klausimas daugelyje klausimynų, žr. klausimą apie daugiafaktorinę autentifikaciją.

Iš kur tai seka: Direktyvos (ES) 2022/2555 21 straipsnio 2 dalies i ir j punktai

Direktyvos (ES) 2022/2555 21 straipsnio 2 dalis nurodo po (i) skiltimi "politika ir procedūros, susijusios su kriptografijos naudojimu ir, kai tinkama, šifravimu" ne kaip slaptažodžių paieškos vieta — tai patenka po "prieigos kontrolės politika" (i skiltis įprastame dešimties priemonių vertimo variante) ir po daugiafaktorine autentifikacija (j skiltis). Kibernetinio saugumo įstatymas perimtą šią klasifikaciją, kai jis įsigaliaus 2026 m. rugpjūčio 15 d. ISO/IEC 27001 A priedas slaptažodžio valdymą taip pat vietoja plačiau tematikos prieigos valdymo, o ne kaip savarankiškos kontrolės.