kā es raksturojumuI mūsu paroles politiku klients drošības jautājumkopā

Paroles politika ir piekļuves kontroles daļa, nevis kriptografijas daļa

Jautājums par paroles politiku parasti neparādās kā atsevišķs jautājums, bet kā plašāka bloka par piekļuves kontroli daļa. Tāpēc aprakstiet ne tikai pašus paroles noteikumus — minimālo garumu, sarežģītību, derīguma termiņu —, bet arī ievietojiet tos kontekstā, kurā parādīts, kuram ir piekļuve kādām sistēmām un kā tas tiek pārvaldīts. Klients, kas jautā par paroles politiku, faktiski jautā par identitātes un piekļuves pārvaldību. Ja piekļuves politika ir noteikta, ieskaitant uzņēmuma aktīvu pārvaldību, tad paroles politika ir viens noteikums no tā, nevis pašstāvīgs dokuments.

Piegādātājam, kurš pats ir pakļauts drošības standartam, klients sagaida vairāk nekā tikai "parolēm jābūt vismaz 8 rakstzīmju garai". Aprakstiet, vai paroles politika tiek tehniskā ceļā piespiedu kārtā īstenota (domēna vai identitātes nodrošinātāja jomā) vai tikai uz papīra, un vai paroles pārvaldnieks ir obligāts vai ieteikts. Miniet arī, vai pastāv kopīgi konti un kā ar tiem tiek rīkots — tas bieži ir turpmākie jautājumi. Ja formāla paroles politika ir pietrūkstama, ir godīgāk to ziņot, neņemot vērā „jā }]meerfactorauthenticatie voor toegang tot bedrijfssystemen

Kur tas ir desmit pasākumos

Paroles politika ietilpst piekļuves kontroles pasākumos NIS2 direktīvas 21. panta 2. punktā, kur tas kopā ar personāla drošību un uzņēmuma aktīvu pārvaldību tiek nosaukts kā viens no desmit īstenojamiem pasākumiem. ISO/IEC 27001 standartā tas ir detalizēti izklāstīts Pielikuma A kontroles pasākumos piekļuves drošības kategorijā — tur paroles politika ir skaidri saistīta ar plašāku autentifikācijas politiku, nevis ar atsevišķiem tehniskajiem uzstādījumiem. Piegādātājiem, kas nonāks zem Kiberdrošības likuma darbības sfēras, kad tas stāsies spēkā, iespējams, tiks piemērota tāda pati sistematizācija, jo šis likums seko direktīvas sistematizācijai.