Dotazník se ptá na naši zásadu hesel, jak na to mám odpovědět

Zásady hesel spadají pod řízení přístupu, nikoli pod autentizaci samostatně

Zásady hesel obvykle odpovídáte spolu se širší zásadou přístupu: kdo má přístup k jakému systému, jak se to přiděluje a odvolává, a jaké požadavky platí pro samotná hesla. Konkrétně jde o minimální délku, složitost, povinnou změnu v případě podezření na zneužití a zákaz opětovného použití starých hesel. Mnoho portálů to pytá jako samostatnou otázku, ale v řetězcovém souboru to patří pod zásady přístupu, včetně správy firemních prostředků — tam si ukotvíte, jaké zásady existují a kdo je monitoruje.

Nemáte-li samostatné, zdokumentované zásady hesel, ale máte praktické dohody — například prostřednictvím správce hesel nebo vynucené nastavení v Active Directory — to je často dostatečné jako opodstatnění, pokud to můžete prokázat. Chybí-li jakékoli dokumentace, pak je "ne" poctivá odpověď; vypracování domněnky jako důkazu nepomáhá při auditu. Všimněte si kombinace s vícefaktorová autentizace pro přístup k systémům společnosti: stále více klientů to pytá jako doplněk nebo náhradu za přísné zásady hesel, protože MFA do značné míry eliminuje riziko slabého hesla.

Lze vysledovat na článek 21 odst. 2 a přílohu A

Zásady hesel nejsou samostatnou povinností, ale rozpracováním opatření týkajících se řízení přístupu. V článku 21 odstavci 2 směrnice NIS2 (Směrnice (EU) 2022/2555) je řízení přístupu a správa aktiv uvedeno jako jedno z deseti povinných opatření; zásady hesel jsou tam nejkonkrétněji rozpracovány. V příloze A normy ISO/IEC 27001 se to vrací pod opatření pro řízení přístupu a informace o autentizaci. Organizace certifikovaná podle této normy má zásady hesel téměř vždy zdokumentované jako součást širší zásady přístupu.