chcú vedieť, ako vyzerá naša politika hesiel

Politika hesiel je súčasťou politiky prístupu, nie MFA

Dotazníky zvyčajne položia "politiku hesiel" ako samostatný riadok, ale odpoveď obsahovo patrí politiku prístupu vrátane správy firemného majetkuPopíšte minimálne: minimálnu dĺžku, požiadavky na zložitosť, povinné zmeny v prípade podozrenia na zneužitie (nie štandardnú periodickosť — tá sa v súčasnosti považuje za zastaranú), a čo sa stane po určitom počte neúspešných pokusov o prihlásenie. Uveďte tiež, či sú heslá centrálne spravované prostredníctvom správcu hesiel alebo poskytovateľa identít, alebo si ich užívatelia spravujú sami.

Časta chyba: opisovať politiku hesiel oddelene od multifaktorovej autentifikácie na prístup k podnikovým systémom, pričom zákazník často chce vedieť, či je slabé heslo kompenzované druhým faktorom. Umiestnite tieto dve odpovede vedľa seba v reťazcovom spise, aj keď je to pre pýtajúceho dve samostatné otázky — ušetrí vám to vysvetlenie, ktoré by ste inak museli opakovane písať. Ak nemáte установленú politiku hesiel, ale máte povinný správcu hesiel pre všetkých, opíšte to fakticky; "nie" s krátkou poznámkou je úplnejšia odpoveď ako "áno", ktoré praktiku nadceňuje.

Odkiaľ to pochádza: článok 21 odsek 2 a príloha A

Politika hesiel sa v článku 21 odsek 2 smernice NIS2 nenachádza ako samostatný bod; patrí pod širšie opatrenie na kontrolu prístupu v rámci týchto desiatich opatrení. V ISO/IEC 27001 Annex A ju nájdete explicitnejšie ako kontrolný opatrenie v rámci témy zabezpečenia prístupu. Pýtajúci sa, ktorí sa pýtajú na "politiku hesiel", tento termín zvyčajne berú z Annex A, aj keď sa odvolávajú na povinnosti NIS2 — preto sa odpoveď v praxi objavuje na rovnakom mieste v spise.