kunde spørger om vores adgangskodesikkerhed, hvad skal jeg svare

Adgangskodepolitik er en del af adgangskontrol, ikke kryptering

Adgangskodepolitik falder under adgangskontrol, ikke under kryptering eller godkendelse separat. Hvis listen spørger til "password policy" eller "adgangskodepolitik", kontrolleres der normalt for, om der er fastsat minimumkrav: minimumslængde, kompleksitet, obligatorisk ændring ved mistanke om kompromittering, og forbud mod genbrug af gamle adgangskoder. Tilstrækkeligt er et politikdokument, hvor disse punkter fremgår, plus en teknisk indstilling, der håndhæver dem — ikke blot en retningslinje, som medarbeidere forventes at følge. Hvis dokumentet mangler, men indstillingen er korrekt i Active Directory eller identitetsudbyder, er det ofte tilstrækkeligt som bevis; et skærmbillede af politikken i systemadministration er tilstrækkeligt.

Hvis du ikke har en separat adgangskodepolitik, men har obligatorisk flerfaktorgodkendelse for alle virksomhedssystemer, er det svar ofte stærkere end en adgangskodepolitik alene — mange lister spørger til dette som et separat punkt, se eller flerfaktorgodkendelse er obligatorisk for adgang til virksomhedssystemer. Udfyld det som en tilføjelse, ikke som erstatning: en kunde, der specifikt spørger til adgangskodepolitik, ønsker at se dette punkt besvaret separat. Hvis du intet har dokumenteret, er "nej" med en præcisering af, at MFA er obligatorisk, ofte mere ærligt og fuldstændigt end et vagt "ja" på et spørgsmål, som du ikke kan understøtte med et dokument.

Hvor det fremgår af normen og retningslinjen

ISO/IEC 27001 Annex A indeholder en specifik kontrolforanstaltning for godkendelsesinformation, herunder adgangskodehåndtering; den, der er certificeret herfor, kan henvise til dette som bevis, se eller virksomheden er ISO 27001-certificeret. NIS2 selv nævner ikke adgangskodepolitik som et separat punkt blandt de ti foranstaltninger i artikel 21, stk. 2 — det falder under den bredere kategori adgangskontrol og beskyttelse af systemer. Spørgeskemaer, der henviser til NIS2, fortolker normalt dette bredere punkt som et konkret adgangskodespørgsmål; det underliggende krav er så adgangskontrollen som helhed, ikke specifikt adgangskoder.