Как описвам нашата политика за пароли в списъка със сигурностни въпроси на клиента

Политиката за пароли е част от управлението на достъпа, а не на криптографията

Въпросът относно политиката за пароли обикновено не се поставя като самостоятелен въпрос, а като част от по-широк блок за управлението на достъпа. Описвайте затова не само самите правила за пароли — минимална дължина, сложност, период на валидност — но ги поставете в контекста на кой има достъп до кои системи и как това се управлява. Клиент, който пита за политика за пароли, всъщност пита за управлението на самоличността и достъпа. Ако политиката за достъп е установена включително управлението на бизнес активите, политиката за пароли е едно правило от нея, не самостоятелен документ.

При доставчик, който сам попада под норма за сигурност, клиентът очаква повече от само "паролите трябва да имат минимум 8 знака". Описвайте дали политиката за пароли се налага технически (чрез домейна или доставчика на самоличност) или само на хартия, и дали мениджър на пароли е задължителен или препоръчан. Спомнете си също дали съществуват споделени сметки и как се работи с тях — това често е следващият въпрос. Ако липсва формална политика за пароли, по-честно е да докладвате това, отколкото да отметнете да, което дневникът не може да подкрепи; много клиенти приемат компенсаторна мярка, като задължителен многофакторна аутентикация за достъп до корпоративни системи, като алтернатива на строга политика за пароли.

Където това е в десетте мерки

Политиката за пароли попада под мерките за контрол на достъпа в член 21, параграф 2 на Директива NIS2, където се споменава като една от десетте мерки, които трябва да се вземат, заедно с защитата на персонала и управлението на корпоративни активи. В ISO/IEC 27001 това е разработено в контролните мерки на Приложение A, под категорията защита на достъпа — там политиката за пароли е изрично свързана с по-широката политика за аутентикация, а не със самостойни технически настройки. За доставчици, които попадат под Закона за кибербезопасност когато той влезе в сила, се очаква да важи същата класификация, тъй като законът следва класификацията на директивата.