zákazník se ptá na naši politiku hesel, co by v ní mělo být

Zásada hesel spadá pod kontrolu přístupu, nikoli šifrování

Zásada hesel popisuje, jak se hesla vytvářejí, spravují a nahrazují: minimální délka a složitost, povinná změna v případě podezření na zneužití, zákaz opětovného použití starých hesel a způsob, jakým jsou hesla ukládána (zahešována, nikoli v prostém textu). Klienti na to obvykle ptají jako součást zásady přístupu včetně správy aktiv společnosti, nikoli jako samostatného problému šifrování. Toto rozlišení je relevantní pro to, jakou odpověď vyplníte: šifrování dat se týká něčeho jiného než toho, jak se uživatel přihlašuje.

Co se často nedostává, není samotná zásada, ale důkaz, že je vynucována: technické nastavení v systému identity (Azure AD, Okta nebo podobné), které vynucuje minimální požadavky, místo dokumentu, který se zaměstnanci mají číst. Pokud nemáte tento důkaz, nevyplňujte "ano" na otázku, zda je zásada vynucována — vyplňujte pouze na otázku, zda zásada existuje, pokud tento dokument skutečně máte. Čím dál více se samostatná zásada hesel považuje za méně relevantní než otázka, zda je vícefaktorové ověřování povinné: silné heslo s MFA má v praxi větší váhu než dlouhé heslo bez MFA.

Kde se to vyskytuje v normě a pokynech

ISO/IEC 27001 se zabývá správou hesel v rámci kontrol přístupu v Příloze A (autentifikační informace jsou tam samostatnou kontrolou); Směrnice (EU) 2022/2555 jmenuje kontrolu přístupu a autentifikaci jako jedno z deseti opatření článku 21 odst. 2, aniž by předepisovala konkrétní pravidla hesel — směrnice ponechává technickou implementaci na organizaci. Otázka v seznamu otázek, která se ptá na "zásadu hesel", tedy obvykle překládá jednu z těchto dvou zdrojů na konkrétní, ověřitelnou otázku.