Zákazník sa pýta na našu politiku hesiel, čo by v nej malo byť

Politika hesiel patrí pod prístupovú bezpečnosť, nie kryptografiu

Politika hesiel opisuje, ako sa heslá vytvárajú, spravujú a nahrádzajú: minimálna dĺžka a zložitosť, povinná zmena v prípade podozrenia na zneužitie, zákaz opätovného použitia starých hesiel a spôsob, akým sa heslá ukladajú (zahasľované, nie v otvorenom texte). Zákazníci to zvyčajne požadujú ako súčasť prístupovej politiky vrátane správy podnikových prostriedkov, a nie ako samostatný problém kryptografie. Toto rozlíšenie je relevantné pre to, akou odpoveď vyplníte: šifrovanie údajov sa týka niečoho iného ako toho, ako sa používateľ prihlasuje.

Čo sa často stráca, nie je politika samotná, ale dôkaz, že sa presadzuje: technické nastavenie v identifikačnom systéme (Azure AD, Okta alebo podobne), ktoré vynúti minimálne požiadavky namiesto dokumentu, ktorý by mali zamestnanci čítať. Ak nemáte tento dôkaz, nevyplňujte "áno" na otázku, či sa politika presadzuje — vyplňujte iba na otázku, či politika existuje, ak ten dokument naozaj existuje. Čoraz viac sa samostatná politika hesiel považuje za menej relevantnú ako otázka, či viacfaktorové overovanie je povinný: silné heslo s MFA má v praxi väčšiu váhu ako dlhé heslo bez MFA.

Kde je to uvedené v norme a smernici

ISO/IEC 27001 rieši správu hesiel podľa opatrení pre kontrolu prístupu v prílohe A (autentifikačné informácie sú tam samostatnou kontrolou); Smernica (EÚ) 2022/2555 spomína kontrolu prístupu a autentifikáciu ako jedno z desiatich opatrení článku 21 odstavc 2, bez špecifických pravidiel hesiel — smernica ponecháva technické vykonanie na organizácii. Zoznam otázok, ktorý sa spýta na "politiku hesiel", zvyčajne teda prekladá jeden z týchto dvoch zdrojov na konkrétnu, testovateľnú otázku.