nori žinoti, kaip atrodo mūsų slaptažodžio politika

Slaptažodžio politika yra prieigos valdymo politikos dalis, o ne MFA dalis

Klausimynai dažniausiai pateikia "slaptažodžio politiką" kaip atskirą eilutę, bet atsakymas turėtų būti turiniškai susijęs prieigos politiką, įskaitant verslo išteklių valdymą. Aprašykite mažiausiai: minimalų ilgį, sudėtingumo reikalavimus, privalomą pakeitimą įtarus piktnaudžiavimą (ne standartinį periodinį — dabar jis laikomas pasenusiu), ir kas nutinka po kelių nesėkmingų prisijungimo bandymų. Nurodykite ir tai, ar slaptažodžiai yra centralizuotai valdomi per slaptažodžio tvarkytuvę ar tapatybės teikėją, ar naudotojai tai valdo patys.

Dažna klaida: slaptažodžio politiką aprašyti atskirai nuo daugialinijinio autentifikavimo pagal besisukančią prieigos sistemą, kai klienetas dažnai nori žinoti, ar silpnas slaptažodis yra kompensuojamas antruoju faktoriumi. Todėl šituos du atsakymus padėkite vienas šalia kito grandinės byloje, net jei klausėjui tai reikalauja dviejų atskirų klausimų — tai sutaupys paaiškinimą, kurį priešingu atveju reikėtų rašyti kiekvieną kartą iš naujo. Jei neturite nustatytos slaptažodžio politikos, bet visuose turite privalomą slaptažodžio tvarkytuvę, aprašykite tai faktiškai; "ne" su trumpu paaiškinimą yra pilnesnis atsakymas nei "taip", kuris per daug vertina praktiką.

Kur tai gaunasi: 21 straipsnio 2 dalis ir A priedas

Slaptažodžio politika nėra atskiras punktas NIS2 direktyvos 21 straipsnio 2 dalyje; jis patenka į platesnę prieigos valdymo priemonę tarp tų dešimties priemonių. ISO/IEC 27001 Priedėlyje A jis yra aiškiau randamas kaip valdymo priemonė prieigos saugos tema. Klausėjai, kurie prašo "slaptažodžio politikos", paprastai šį terminą pasisemia iš Priedėlio A, net jei jie nurodo NIS2 įpareigojimus — todėl atsakymas praktikoje atsiduria toje pačioje byloje esančioje vietoje.