kif niddeskrivi l-politika tal-passwords tagħna fil-questionnariu tal-security tal-kliyent

Il-politika tal-passwords hija parti mill-kontroll tal-aċċess, mhux mill-kriptografija

Il-mistoqsija dwar il-politika tal-passwords ġeneralment ma taħdirx bħala mistoqsija separata, iżda bħala parti minn blokk aktar wiesa' dwar il-kontroll tal-aċċess. Għalhekk, m'għandekx biss tiddeskriva r-regoli tal-passwords nfushom — it-tul minimu, il-kumplessità, il-perjodu ta' skadenza — iżda poġġihom fil-kuntest ta' min għandu aċċess għal liema sistema u kif inkella jiġi mmaniġġjat. Klijent li jistaqsi dwar il-politika tal-passwords, fil-fatt jistaqsi dwar identity- u access management. Meta il-politika tal-aċċess tkun iffissata inkluża l-immaniġġjament tal-assi tal-kumpanija, il-politika tal-passwords hija regola wieħed minnha, mhux dokument independenti.

Fil-każ ta' fornitur li nfusu jkun suġġett għal norma ta' sigurtà, il-klijent jistenna aktar minn sempliċement "passwords għandhom ikunu minimu 8 karattri". Iddeskriva jekk il-politika tal-passwords tiġi applikata teknikament (permezz tad-dominju jew l-identity provider) jew biss fuq karta, u jekk manager tal-passwords huwa obbligatorju jew irrakkommandat. Inkludi wkoll jekk jeħtieġu accounts kondiviżi u kif jiġi mmaniġġjat - ġeneralment dik hija l-mistoqsija ta' wara. Jekk manca politika formali tal-passwords, aktar onest hu li tirdepozita dak milli tistampa 'iva' li s-sekonda ma tistax tiġi ssostenut bid-dossier; bosta klijenti jaccettaw miżura tal-kumpens, bħal meħtieġa ta' authenticazzjoni multifattor għall-aċċess għal sistemi kumpaniji, bħala alternattiva għal politika stretta tal-passwords.

Fejn jidher dan fit-tenn miżuri

Il-politika tal-passwords taqa' taħt il-miżuri għal kontroll tal-aċċess fl-Artiklu 21 paragrafu 2 tad-Direttiva NIS2, fejn jidher flimkien mal-sigurtà tal-persunal u l-immaniġġjament tal-assi tal-kumpanija bħala waħda mill-għaxar miżuri li għandu jittieħdu. F'ISO/IEC 27001 dan huwa miksub fl-imekkaniżmi ta' kontroll ta' Annex A, taħt il-kategorija ta' sigurtà ta' l-aċċess — hemm il-politika tal-passwords hija espliċitament konnessa mal-politika ta' authenticazzjoni aktar ħamsa, mhux ma-settings tekniċi separati. Għal fornituri li jkunu taħt id-Dirett tal-Cybersigurtà mill-ħin li tieħdu seħħ, jistħoqqilhom l-istess klassifikazzjoni, għaliex dik il-Dirett issegwi l-klassifikazzjoni tad-Direttiva.