hvordan beskriver jeg vores adgangskodepolitik i kundens sikkerhedsspørgeskema

AdgangskodelPolitik er en del af adgangskontrol, ikke af kryptering

Spørgsmålet om adgangskodelfolk er normalt ikke stillet som et selvstændigt spørgsmål, men som en del af en bredere blok om adgangskontrol. Beskriv derfor ikke blot selve adgangskodereglerne — minimumslængde, kompleksitet, udløbsperiode — men placér dem i sammenhæng med, hvem der har adgang til hvilket system, og hvordan det administreres. En kunde, der spørger om adgangskodelfolk, spørger i realiteten om identity- og accessmanagement. Hvis adgangskontrollen er fastlagt, herunder forvaltningen af virksomhedsaktiver, er adgangskodelfolk en regel deraf, ikke et selvstændigt dokument.

Hos en leverandør, der selv er omfattet af en sikkerhedsnorm, forventer kunden mere end blot "adgangskoder skal være mindst 8 tegn". Beskriv, om adgangskodelfolk bliver teknisk håndhævet (via domænet eller identity provider) eller kun eksisterer på papir, og om en adgangskodeadministrator er obligatorisk eller anbefalet. Nævn også, om delte konti findes, og hvordan de håndteres — det er ofte opfølgningsspørgsmålet. Hvis en formel adgangskodelfolk mangler, er det mere ærligt at melde det, end at krydse ja af på en måde, der ikke kan understøttes af dossieren; mange kunder accepterer en kompenserende foranstaltning, såsom obligatorisk flerfaktorgodkendelse til adgang til virksomhedssystemer, som alternativ til en streng adgangskodelfolk.

Hvor dette står blandt de ti foranstaltninger

Adgangskodelfolk falder under adgangskontrolforanstaltningerne i artikel 21, stk. 2 i NIS2-direktivet, hvor det sammen med personalesikkerhed og forvaltning af virksomhedsaktiver er nævnt som en af de ti foranstaltninger, der skal træffes. I ISO/IEC 27001 er dette udfoldet i kontrolforanstaltningerne i Anneks A under kategorien adgangssikkerhed — her knyttes adgangskodelfolk udtrykkeligt til den bredere godkendelsespolitik, ikke til løststående tekniske indstillinger. For leverandører, der kommer under cybersikkerhedsloven, når denne træder i kraft, gælder efter al sandsynlighed samme inddeling, fordi loven følger direktivets inddeling.