lista pytań pyta, jak wygląda nasza polityka haseł

Polityka haseł podlega kontroli dostępu, a nie kryptografii

Pytanie o politykę haseł należy do kontroli dostępu: kto ma dostęp do którego systemu i jak to jest kontrolowane. Klienci zwykle pytają o to jako osobne pytanie, ale w dossierze łańcucha powinno to być przypisane do polityki dostępu i zarządzania zasobami przedsiębiorstwa, a nie do szyfrowania. Nie mylić tego: niektóre listy pytań stawiają "politykę haseł" i "szyfrowanie" przez przypadek w tej samej sekcji, ale są to dwie różne miary z artykułu 21 ust. 2 dyrektywy NIS2 — kontrola dostępu (pod h) i kryptografia (h jest szersze, szyfrowanie znajduje się osobno pod środkami organizacyjnymi tego ustępu).

W praktyce poszukiwane dowody to zazwyczaj: minimalna długość hasła, częstotliwość zmiany lub jej brak (nowsza praktyka czasami od okresowych zmian odradza), i czy używany jest menedżer haseł lub logowanie jednokrotne. Jeśli nie masz odrębnie udokumentowanej polityki haseł, ale masz politykę dostępu, w której to jest uwzględnione, to często wystarczy jako dowód podstawowy — odpowiedź zależy od tego, jak ściśle sformułowane jest pytanie. Jeśli polityka haseł całkowicie brakuje i nie ma również uwierzytelnianie wieloskładnikowe jako środka kompensacyjnego, to "nie" z krótkim wyjaśnieniem jest uczciwsze niż "tak", którego nie potrafisz uzasadnić.

Gdzie to znajduje się w dyrektywie i normie

Artykuł 21 ust. 2 dyrektywy (UE) 2022/2555 wymienia politykę kontroli dostępu jako jeden z dziesięciu obowiązkowych środków dla podmiotów podlegających dyrektywie; zarządzanie hasłami jest tam standardowym elementem. W normie ISO/IEC 27001 jest to opracowane w Aneksie A, wśród środków kontroli dostępu. Dla praktyki holenderskiej na razie obowiązuje sama dyrektywa, ponieważ Ustawa o cyberbezpieczeństwie jako transpozycja wejdzie w życie 15 sierpnia 2026 r. Jeśli wątpisz, czy Twoje przedsiębiorstwo samo podlega dyrektywie, to osobne pytanie, na które odpoważasz osobno przy czy przedsiębiorstwo samo podlega dyrektywie NIS2.