Stranka vprašuje o naši politiki gesel, kaj bi tam moralo biti

Politika gesel spada pod nadzor dostopa, ne kriptografijo

Politika gesel opisuje, kako se gesla ustvarjajo, upravljajo in zamenjajo: najmanjša dolžina in kompleksnost, obvezna sprememba ob sum zlorabe, prepoved ponovne uporabe starih gesel in način, kako se gesla shranjujejo (zgoščena, ne v navadnem besedilu). Stranke to največkrat sprašujejo kot del politike dostopa, vključno s upravljanjem poslovnih sredstev, ne kot ločeno kriptografsko vprašanje. To razlikovanje je pomembno za odgovor, ki ga vneseš: šifriranje podatkov gre za nekaj drugega kot to, kako se uporabnik prijavi.

Kar pogosto manjka, ni sama politika, temveč dokaz, da se pravilno izvršuje: tehnična nastavitev v sistemu identitete (Azure AD, Okta ali podobno), ki vsiljuje minimalne zahteve, namesto dokumenta, ki ga delavci naj bi prebral. Če tega dokazila nimate, ne vnesite »da« v odgovore na vprašanje, ali se politika vsiljuje — samo na vprašanje, ali politika obstaja, če je ta dokument res prisoten. Vse pogosteje samostojno politiko gesel štejejo za manj pomembno kot vprašanje, ali večfaktorska avtentifikacija je obvezno: močno geslo z MFA je v praksi težje kot dolgo geslo brez MFA.

Kjer je to v normi in smernici

ISO/IEC 27001 obravnava upravljanje gesel pod kontrolnimi ukrepi za nadzor dostopa v Prilogi A (informacije za avtentifikacijo so tam ločena kontrola); Direktiva (EU) 2022/2555 omenja nadzor dostopa in avtentifikacijo kot eno od desetih ukrepov člena 21(2), pri tem pa ne predpisuje posebnih pravil za gesla — direktiva tehnično izvršitev prepušča organizaciji. Vprašalnik, ki sprašuje za »politiko gesel«, zato običajno prevede eno od teh dveh virov v konkretno, preizkušljivo vprašanje.