jautājumā tiek vaicāts par mūsu paroles politiku - kā es to atbildu

Paroles politika ietilpst piekļuves drošībā, nevis autentifikācijā atsevišķi

Paroles politiku parasti atbildi kopā ar plašāku piekļuves politiku: kurš drīkst piekļūt kuram sistēmai, kā tas tiek piešķirts un atsaukts, un kādi nosacījumi ir jāievēro parolēm. Konkrēti tas attiecas uz minimālo garumu, sarežģītību, obligātu maiņu, ja tiek aizdots parolei vai jāpieņem tās ļaunprātīga izmantošana, un aizliegumu atkārtoti izmantot vecās paroles. Daudzi portāli to uzdod kā atsevišķu jautājumu, bet ķēdes dokumentā tas pieder pie piekļuves politikā, ieskaitant darba līdzekļu pārvaldību — tur jūs nosakāt, kāda politika pastāv un kurš par to uzrauga.

Ja jums nav atsevišķas, dokumentētas paroles politikas, bet pastāv praktiskas vienošanās — piemēram, paroļu pārvaldnieka vai piespiedu iestatījumu Active Directory — tas bieži ir pietiekams pamatojums, ja varat to pierādīt. Ja dokumentēšana pilnībā trūkst, tad "nē" ir godīgs atbildums; pieņēmuma aizpildīšana kā pierādījums nepalīdz audita laikā. Pievērsiet uzmanību kombinācijai ar }]: arvien vairāk klientu to uzdod kā papildinājumu vai paroles politikas aizstājēju, jo MFA lielā mērā novērš vājas paroles risku.

Jāatgriež uz NIS2 direktīvas 21. panta 2. punktu un A pielikumu

Paroles politika nav patstāvīgs pienākums, bet gan piekļuves kontroles mēru īstenošana. NIS2 direktīvas (Direktīva (ES) 2022/2555) 21. panta 2. punktā minēta piekļuves kontrole un aktīvu pārvaldīšana kā viens no desmit obligātajiem pasākumiem; paroles politika ir tā konkrētākā īstenošana. ISO/IEC 27001 A pielikumā tas parādās kā piekļuves pārvaldības un autentifikācijas informācijas kontroles pasākumi. Organizācija, kura ir sertificēta saskaņā ar šo normu, gandrīz vienmēr jau ir dokumentējusi paroles politiku kā daļu no plašākas piekļuves politikas.