въпросникът пита за нашата политика за пароли как да отговоря на това

Политиката за пароли попада под контрол на достъпа, не под удостоверяване поотделно

Политиката за пароли обикновено я отговаряш заедно с по-широката политика за достъп: кой има достъп до кои системи, как се отпуска и отозва този достъп, и какви изисквания се прилагат за самите пароли. Конкретно става въпрос за минимална дължина, сложност, задължително изменяне при подозрение за злоупотреба и забраната за повторно използване на стари пароли. Много портали задават това като отделен въпрос, но в досието на веригата това попада в политиката за достъп, включително управлението на корпоративни ресурси — там определяш какво е политиката и кой я контролира.

Ако нямаш официално документирано правило за пароли, но имаш практически договорки — например чрез password manager или принудителни настройки в Active Directory — това често е достатъчно като обосновка, при условие че можеш да го докажеш. Ако липсва всяка документация, то "не" е честният отговор; попълването на предположение като доказателство не помага при одит. Обърни внимание на комбинацията с многофакторна аутентикация за достъп до корпоративни системи: все повече клиенти поискват това като допълнение на или замяна на строга политика за пароли, тъй като MFA до голяма степен намалява риска от слаба парола.

Подлежи на член 21, параграф 2 и Приложение А

Политиката за пароли не е самостоятелно задължение, а разработка на мерките за контрол на достъпа. В член 21, параграф 2 на Директива NIS2 (Директива (EU) 2022/2555) контролът на достъпа и управлението на активите са посочени като една от десетте задължителни мерки; политиката за пароли е там най-конкретното й приложение. В Приложение А на ISO/IEC 27001 това се появява отново под контролните мерки за управление на достъпа и информация за удостоверяване. Организация, която е сертифицирана за тази норма, почти винаги вече има задокументирана политика за пароли като част от по-широката политика за достъп.