Списъкът пита как изглежда нашата политика за пароли

Политиката за пароли попада под контролата на достъпа, не под криптографията

Въпросът относно политиката за пароли принадлежи към контролата на достъпа: кой може да получи достъп до коя система и как се контролира това. Клиентите обикновено го задават като отделен въпрос, но в документацията на веригата то принадлежи към политиката за достъп и управлението на активите, а не към криптиране. Не го бъркайте: някои въпросници по грешка поставят "политика за пароли" и "криптиране" в един и същи раздел, но те са две различни мерки от член 21 параграф 2 на NIS2 — контрол на достъпа (под h) и криптография (под h е по-широко, криптирането е отделно под организационните мерки на този параграф).

Конкретно поискано доказателство обикновено включва: минимална дължина на паролата, честота на смяна или липса на честота на смяна (новата практика понякога препоръчва против периодична смяна), и дали се използва мениджър на пароли или единствено влизане. Ако нямате отделна документирана политика за пароли, но имате политика за достъп, в която това е включено, това често е достатъчно като основно доказателство — отговорът зависи от това колко строго е формулиран въпросът. Ако политиката за пароли липсва напълно и също няма многофакторната аутентификация като компенсираща мярка, тогава "не" с кратко обяснение е честнее от "да", което не можете да обоснуете.

Където това е посочено в директивата и стандарта

Член 21 параграф 2 на Директива (EU) 2022/2555 назовава политика за контрол на достъпа като една от десетте задължителни мерки за субекти, попадащи под директивата; управлението на пароли е там стандартна част. В ISO/IEC 27001 това е разработено в Приложение A, под контролните мерки за контрола на достъпа. За нидерландската практика засега важи самата директива, тъй като Законът за кибербезопасност как трансспозиция влиза в сила на 15 август 2026 година. Ако се съмнявате дали вашето предприятие самостоятелно попада под това, това е отделен въпрос, на който отговаряте отделно при дали предприятието самостоятелно попада под NIS2 директивата.