kunde spørger om vores adgangskodesikkerhed, hvad skal der være i det

Adgangskodepolitik falder under adgangskontrol, ikke kryptering

En adgangskodepolitik beskriver, hvordan adgangskoder oprettes, administreres og erstattes: minimumlængde og kompleksitet, obligatorisk ændring ved mistanke om misbrug, forbud mod genbrug af gamle adgangskoder og måden, hvorpå adgangskoder gemmes (hashet, ikke som klartekst). Kunder spørger normalt om dette som en del af adgangskontrolpolitikken, herunder administration af forretningsaktiver, ikke som et separat krypteringsspørgsmål. Denne skelnen er relevant for, hvilket svar du udfylder: kryptering af data handler om noget helt tredje end hvordan en bruger logger ind.

Det, der ofte mangler, er ikke selve politikken, men beviset for, at den håndhæves: en teknisk indstilling i identitetssystemet (Azure AD, Okta eller lignende), der gennemtvinger minimumskrav, i stedet for et dokument, som medarbejdere forventes at læse. Hvis du ikke har dette bevis, skal du ikke udfylde "ja" på spørgsmålet om, hvorvidt politikken håndhæves — kun på spørgsmålet om, hvorvidt der findes politikker, hvis dokumentet faktisk foreligger. En selvstændig adgangskodepolitik betragtes i stigende grad som mindre relevant end spørgsmålet om, hvorvidt multifaktor-godkendelse multifaktor-godkendelse er obligatorisk: en stærk adgangskode kombineret med MFA vejer i praksis tungere end en lang adgangskode uden MFA.

Hvor det fremgår af normen og retningslinjen

ISO/IEC 27001 behandler adgangskodeopgaver under beheersningsforanstaltningerne for adgangskontrol i Annex A (godkendelsesoplysninger er der en separat kontrol); Direktiv (EU) 2022/2555 nævner adgangskontrol og godkendelse som en af de ti foranstaltninger i artikel 21, stk. 2, uden at foreskrive specifikke adgangskoderegler — direktivet overlader den tekniske implementering til organisationen. En spørgeskema, der spørger om "adgangskodepolitik", oversætter normalt en af disse to kilder til et konkret, kontrollerbart spørgsmål.