chtějí vědět, jak vypadá naše politika hesel

Zásady pro hesla jsou součástí zásad přístupu, nikoli MFA

Dotazníky obvykle uvádějí "zásady pro hesla" jako samostatný řádek, ale obsah odpovědi do toho patří zásady přístupu, včetně správy firemních prostředkůPopište minimálně: minimální délku, požadavky na složitost, povinnou změnu v případě podezření na zneužití (ne standardní periodickou — ta se nyní považuje za zastaralou), a co se stane po určitém počtu neúspěšných pokusů o přihlášení. Uveďte také, zda jsou hesla centrálně spravována prostřednictvím správce hesel nebo poskytovatele identity, nebo zda si je uživatelé spravují sami.

Běžná chyba: popis zásad pro hesla odděleně od vícefaktorové autentifikace pro přístup k podnikovým systémům, zatímco zákazník často chce vědět, zda je slabé heslo kompenzováno druhým faktorem. Umístěte tyto dva odpovědi vedle sebe v souboru řetězce, i když to znamená pro tazatele dvě samostatné otázky — ušetří vám to vysvětlení, které byste jinak musel stále opakovat. Nemáte-li stanovenu zvláštní zásadu hesel, ale máte-li povinný správce hesel pro všechny, popište to fakticky; "ne" s krátkou poznámkou je úplnější odpověď než "ano", které nadhodnocuje praxi.

Odkud to pochází: článek 21 odst. 2 a příloha A

Zásada hesel se v článku 21 odstavci 2 směrnice NIS2 neobjevuje jako samostatný bod; spadá pod širší opatření pro řízení přístupu mezi těmito deseti opatřeními. V ISO/IEC 27001 Annex A je výslovněji zaznamenáno jako opatření ke zvládání v rámci tématu bezpečnosti přístupu. Tazatelé, kteří se ptají na "zásady hesel", zpravidla tento termín převzali z Annex A, a to i v případě, že se odvolávají na povinnosti NIS2 — proto se odpověď v praxi ocitá na stejném místě v souboru.