kako opišem naš pravilnik o geslih v vprašalniku o varnosti naročnika

Politika gesla je del nadzora dostopa, ne kriptografije

Vprašanje o politiki gesla običajno ne stoji kot samostojno vprašanje, ampak kot del širšega sklopa o nadzoru dostopa. Zato ne opisujte samo samih pravil za gesla — najmanjša dolžina, zahtevnost, rok veljavnosti — ampak jih postavite v kontekst tega, kdo ima dostop do katerega sistema in kako se to upravlja. Odjemalec, ki sprašuje o politiki gesla, v resnici sprašuje o upravljanju identitete in dostopa. Če je politika dostopa opredeljena skupaj z upravljanjem sredstev podjetja, je politika gesla eno pravilo iz tega, ne samostojen dokument.

Pri dobavitelju, ki sam spada pod standarde varnosti, pričakuje odjemalec več kot le "gesla morajo biti najmanj 8 znakov". Opišite, ali se politika gesla tehnično izvršuje (prek domene ali ponudnika identitete) ali obstaja samo na papirju, ter ali je upravljalnik gesel obvezen ali priporočen. Omenite tudi, ali obstajajo skupni računi in kako se z njimi ravna — to je pogosto naslednje vprašanje. Če formalna politika gesla manjka, je pošteno to sporočiti, kot da se označite da, ki ga dosieja ne more podpreti; številni odjemalci sprejmejo nadomestni ukrep, kot je večfaktorska avtentifikacija za dostop do podjetniških sistemov, kot alternativa za strogo politiko gesla.

Kje je to v desetih ukrepih

Politika gesla spada pod ukrepe za nadzor dostopa v 21. členu, odstavek 2, direktive NIS2, kjer je skupaj z varnostjo osebja in upravljanjem sredstev podjetja navedena kot eden od desetih ukrepov, ki jih je treba sprejeti. V ISO/IEC 27001 je to razdelano v varnostnih kontrolnih merah Priloge A, v kategoriji varnosti dostopa — tam je politika gesla izrecno povezana s širšo politiko avtentifikacije, ne s samostojnimi tehničnimi nastavitvami. Za dobavitelje, ki bodo spadali pod Zakon o kibernetski varnosti, ko ta stopi v veljavo, naj bi veljalo enako razdeljevanje, ker zakon sledi razdeljevanju direktive.