lista kontrolna pyta o naszą politykę haseł, jak powinienem na to odpowiedzieć

Polityka haseł należy do bezpieczeństwa dostępu, a nie do uwierzytelniania oddzielnie

Politykę haseł najczęściej odpowiadasz razem z szerszą polityką dostępu: kto ma dostęp do jakich systemów, jak to się przyznaje i cofa, oraz jakie wymagania dotyczą samych haseł. Konkretnie chodzi o minimalną długość, złożoność, obowiązkową zmianę w przypadku podejrzenia nadużycia oraz zakaz ponownego użycia starych haseł. Wiele portali pyta o to jako oddzielne pytanie, ale w pliku łańcucha znajduje się to w sekcji polityce dostępu, w tym zarządzaniu zasobami przedsiębiorstwa — tam określasz, jaką politykę masz i kto ją nadzoruje.

Jeśli nie masz osobnej, udokumentowanej polityki haseł, ale masz praktyczne porozumienia — na przykład za pośrednictwem menadżera haseł lub wymuszonych ustawień w Active Directory — to często wystarczy jako uzasadnienie, pod warunkiem że potrafisz to wykazać. Jeśli brakuje jakiegokolwiek dokumentu, to uczciwą odpowiedzią jest "nie"; wskazanie podejrzenia jako dowodu nie pomoże w audycie. Zwróć uwagę na kombinację z uwierzytelnianie wieloskładnikowe dla dostępu do systemów biznesowych,:coraz więcej klientów pyta o to jako uzupełnienie lub zastąpienie rygorystycznej polityki haseł, ponieważ MFA w dużej mierze neutralizuje ryzyko słabego hasła.

Można to powiązać z artykułem 21 ust. 2 i Załącznikiem A

Polityka haseł nie jest samodzielnym obowiązkiem, ale realizacją środków kontroli dostępu. W artykule 21 ustęp 2 dyrektywy NIS2 (Dyrektywa (UE) 2022/2555) kontrola dostępu i zarządzanie aktywami wymienione są jako jeden z dziesięciu obowiązkowych środków; polityka haseł to najbardziej konkretne jej wdrożenie. W Załączniku A normy ISO/IEC 27001 pojawia się to ponownie w ramach kontroli dostępu i zarządzania informacjami uwierzytelniającymi. Organizacja certyfikowana pod względem tej normy prawie zawsze ma już udokumentowaną politykę haseł jako część szerszej polityki dostępu.