το ερωτηματολόγιο ρωτά πώς δείχνει η πολιτική κωδικών πρόσβασης μας

Η πολιτική κωδικών πρόσβασης εμπίπτει στη διαχείριση της πρόσβασης, όχι στην κρυπτογραφία

Το ερώτημα σχετικά με την πολιτική κωδικών πρόσβασης ανήκει στη διαχείριση της πρόσβασης: ποιος μπορεί να έχει πρόσβαση σε ποιο σύστημα και πώς ελέγχεται αυτό. Οι πελάτες συνήθως θέτουν αυτό το ερώτημα ως ξεχωριστό, αλλά στο αρχείο της αλυσίδας ανήκει την πολιτική πρόσβασης και τη διαχείριση των περιουσιακών στοιχείων της επιχείρησης, όχι στην κρυπτογράφηση. Μην το συγχέετε: ορισμένες λίστες ερωτήσεων τοποθετούν «πολιτική κωδικών πρόσβασης» και «κρυπτογραφία» κατά λάθος στην ίδια ενότητα, αλλά είναι δύο διαφορετικά μέτρα από το άρθρο 21(2) της NIS2 — έλεγχος πρόσβασης (κάτω από το h) και κρυπτογραφία (κάτω από το h είναι ευρύτερη, η κρυπτογράφηση βρίσκεται ξεχωριστά κάτω από τα οργανωτικά μέτρα του εν λόγω άρθρου).

Συγκεκριμένα ζητούμενη απόδειξη είναι συνήθως: ένα ελάχιστο μήκος κωδικού πρόσβασης, μια συχνότητα αλλαγής ή το αντίθετο (η νεότερη πρακτική κάποτε αποθαρρύνει την περιοδική αλλαγή), και εάν χρησιμοποιείται διαχειριστής κωδικών πρόσβασης ή ενιαία σύνδεση. Εάν δεν έχετε χωριστή τεκμηριωμένη πολιτική κωδικών πρόσβασης αλλά έχετε πολιτική πρόσβασης στην οποία περιλαμβάνεται αυτό, τότε αυτό είναι συχνά επαρκές ως υποστηρικτικό στοιχείο — η απάντηση εξαρτάται από το πόσο αυστηρή είναι η διατύπωση του ερωτήματος. Εάν λείπει εντελώς η πολιτική κωδικών πρόσβασης και δεν υπάρχει επίσης η πολυπλέκτορη ταυτοποίηση ως αντισταθμιστικό μέτρο, τότε ένα «όχι» με σύντομη επεξήγηση είναι ειλικρινέστερο από ένα «ναι» που δεν μπορείτε να υποστηρίξετε.

Όπου αυτό υπάρχει στην κατευθυντήρια γραμμή και το πρότυπο

Το άρθρο 21(2) της Οδηγίας (ΕΕ) 2022/2555 αναφέρει την πολιτική ελέγχου πρόσβασης ως ένα από τα δέκα υποχρεωτικά μέτρα για τις οντότητες που εμπίπτουν στο πεδίο εφαρμογής της οδηγίας· η διαχείριση κωδικών πρόσβασης είναι ένα τυπικό συστατικό της. Στο ISO/IEC 27001 αυτό αναπτύσσεται στο Παράρτημα A, κάτω από τα μέτρα ελέγχου της διαχείρισης της πρόσβασης. Για την ολλανδική πρακτική, προς το παρόν λαμβάνεται υπόψη η ίδια η οδηγία, επειδή ο Νόμος Κυβερνοασφάλειας ως μέσο μεταφοράς θα τεθεί σε ισχύ στις 15 Αυγούστου 2026. Αν αμφιβάλλεις αν ο οργανισμός σου εμπίπτει αυτοτελώς εδώ, τότε αυτό είναι ένα ξεχωριστό ερώτημα που απαντάς ξεχωριστά στο εάν ο οργανισμός εμπίπτει αυτοτελώς στην Οδηγία NIS2.