chcą wiedzieć, jak wygląda nasza polityka haseł

Polityka haseł jest częścią polityki dostępu, a nie MFA

Listy kontrolne zwykle przedstawiają "politykę haseł" jako osobny punkt, ale merytoryczna odpowiedź należy do polityce dostępu, w tym zarządzaniu zasobami przedsiębiorstwaOpisz minimum: minimalną długość, wymagania dotyczące złożoności, obowiązkową zmianę w przypadku podejrzenia nadużycia (a nie standardową zmianę okresową — jest to obecnie uważane za przestarzałe), i co się dzieje po kilku nieudanych próbach logowania. Wskaż również, czy hasła są zarządzane centralnie za pośrednictwem menedżera haseł lub dostawcy tożsamości, czy użytkownicy zarządzają tym sami.

Częsty błąd: opisanie polityki haseł niezależnie od wieloczynnikowego uwierzytelniania dla dostępu do systemów biznesowych, podczas gdy klient często chce wiedzieć, czy słabe hasło jest kompensowane przez drugi czynnik. Umieść więc te dwie odpowiedzi obok siebie w pliku łańcucha, nawet jeśli zadawacz pytań postawił dwa osobne pytania — oszczędzi to wyjaśnienia, które w innym przypadku musisz wielokrotnie wpisywać. Jeśli nie masz ustalonej polityki haseł, ale wymagasz menedżera haseł dla wszystkich, opisz to faktycznie; "nie" z krótkim wyjaśnieniem to bardziej kompletna odpowiedź niż "tak", które przecenia praktykę.

Skąd to pochodzi: artykuł 21 ust. 2 i Załącznik A

Polityka haseł nie jest osobnym punktem w artykule 21 ust. 2 dyrektywy NIS2; wchodzi w zakres szerszego środka kontroli dostępu w ramach tych dziesięciu środków. W ISO/IEC 27001 Załączniku A jest bardziej wyraźnie uwzględniona jako środek kontroli w ramach tematu bezpieczeństwa dostępu. Osoby zadające pytania dotyczące "polityki haseł" zwykle czerpią ten termin z Załącznika A, nawet jeśli odwołują się do obowiązków NIS2 — dlatego właśnie odpowiedź w praktyce trafia na to samo miejsce w pliku.