klausimynas klausia, kaip atrodo mūsų slaptažodžio politika

Slaptažodžio politika patenka į prieigos saugumą, o ne į kriptografiją

Klausimas apie slaptažodžio politiką priklauso prieigos saugumui: kas gali pasiekti kurią sistemą ir kaip tai kontroliuojama. Klientai dažniausiai klausia apie tai kaip atskirą klausimą, bet jų grandinės byloje jis turėtų būti klasifikuojamas kaip Zugriffskontrollrichtlinie und Verwaltung von Unternehmensressourcen, o ne šifravimas. Nepainiokite to: kai kurie klausimynai per klaidą įdeda "slaptažodžio politiką" ir "šifravimą" į tą pačią skyrių, tačiau tai yra dvi skirtingos priemonės iš NIS2 direktyvos 21 straipsnio 2 dalies — prieigos kontrolė (pagal h) ir kriptografija (pagal h yra plačiau, šifravimas yra atskiras organizacinių priemonių dalyvoje šio straipsnio dalyje).

Konkrečiai prašomi įrodymai paprastai yra: minimalus slaptažodžio ilgis, keitimosi dažnumas arba jo nebuvimas (naujesnė praktika kartais atrada periodinį keitimąsi), ir ar naudojamas slaptažodžio tvarkytuvė arba vieno prisijungimo sistema. Jei neturite atskiro dokumentuoto slaptažodžio politikos, bet turite prieigos politiką, kurioje tai įtraukta, tai dažnai pakanka kaip pagrindinis įrodymas — atsakymas priklauso nuo to, kaip griežtai suformuluotas klausimas. Jei slaptažodžio politika visiškai nėra ir nėra ir daugiaaspektė autentifikacija kaip kompensuojamoji priemonė, tada "ne" su trumpu paaiškinimu yra nuoširdesnis nei "taip", kurio negalite pagrįsti.

Kur tai yra richtlinėje ir standarte

Direktyvos (ES) 2022/2555 21 straipsnio 2 dalis nurodo prieigos kontrolės politiką kaip vieną iš dešimties privalomų priemonių subjektams, kurie patenka į šios direktyvos taikymo sritį; slaptažodžio valdymas yra standartinė jų dalis. ISO/IEC 27001 tai išsamiai nurodyta XI priede, esant kontrolės priemonėms prieigos saugumui. Olandijos praktikoje šiuo metu svarbi pati direktyva, nes Kibernetinio saugumo įstatymas kaip jo įgyvendinimas įsigalioja 2026 m. rugpjūčio 15 d. Jei abejoji, ar jūsų įmonė pati patenka į šios direktyvos taikymo sritį, tai yra atskiras klausimas, kurį atsakysi atskirai adresu ar įmonė pati patenkanti į NIS2 direktyvos taikymo sritį.