klientas klausia apie mūsų slaptažodžio politiką, kas turėtų būti joje

Slaptažodžio politika patenka į prieigos kontrolę, o ne į kriptografiją

Slaptažodžio politika aprašo, kaip slaptažodžiai kuriami, valdomi ir keičiami: minimali ilgis ir sudėtingumas, privalomas keitimas įtariant piktnaudžiavimą, draudimas naudoti senus slaptažodžius iš naujo, ir būdas, kaip slaptažodžiai saugomi (šifruoti, o ne grynasis tekstas). Klientai paprastai tai klausia kaip dalį prieigos politikos, įskaitant verslo turto valdymą, o ne kaip atskirą kriptografijos klausimą. Šis skirtumas yra aktualus, norint pasirinkti tinkamą atsakymą: duomenų šifravimas reiškia ką nors kitaip nei tai, kaip vartotojas prisijungia.

Dažnai trūksta ne pačios politikos, o įrodymo, kad ji yra vykdoma: techninis nustatymas identifikavimo sistemoje (Azure AD, Okta arba panašiai), kuris nustato minimalius reikalavimus, o ne dokumentas, kurį turėtų perskaityti darbuotojai. Jei neturite tokio įrodymo, tada nesuraškite "taip" į klausimą, ar politika yra vykdoma — tik į klausimą, ar politika egzistuoja, jei tas dokumentas iš tikrųjų egzistuoja. Vis dažniau atskira slaptažodžio politika yra mažiau svarbi nei klausimas, ar daugiaaspektė autentifikacija yra privaloma: stiprus slaptažodis su MFA praktikoje sveria daugiau nei ilgas slaptažodis be MFA.

Kur tai yra nurodyta normoje ir direktyvoje

ISO/IEC 27001 tvarko slaptažodžio valdymą pagal prieigos kontrolės valdymo priemones Priede A (autentifikacijos informacija yra atskira kontrolė); Direktyva (ES) 2022/2555 mini prieigos kontrolę ir autentifikaciją kaip vieną iš dešimties 21 straipsnio 2 dalies priemonių, nenurodydama konkrečių slaptažodžio taisyklių — direktyva leidžia organizacijai pasirinkti techninę realizaciją. Klausimynas, kuriame klausiama apie "slaptažodžio politiką", dažniausiai išverčia vieną iš šių dviejų šaltinių į konkretų, tikslintą klausimą.