küsimustik küsib meie paroolipoliitikat, kas see peab olema kirjalikult fikseeritud

Paroolipoliitika kuulub juurdepääsupoliitika juurde, mitte eraldi kõrvale

Jah, kirjalikult fikseeritud paroolipoliitika on norm, mida küsimustik ootab — kuid küsimus ise on tavaliselt laialdasemalt mõistetav kui ainult paroolid. Richtlijn (EU) 2022/2555 artikkel 21 lõige 2 ei nimetagi eraldi "paroolipoliitikat" iseseisva meetmena; paroolid kuuluvad punkti (i) alla, juurdepääsupoliitika, ja punkti (j) alla, mitmetegurilise autentimise kasutamine. Kui küsimustik küsib spetsiaalselt paroolipoliitikat, kontrollitakse tavaliselt, kas see on osa laialdasemast juurdepääsupoliitika kirjalikult fikseeritud: kes saavad millised õigused, kuidas parool koostatakse, kui sageli seda vahetatakse, mis juhtub ametist lahkumisel.

Kui sul pole eraldi dokumenti, siis tekib küsimus, kas poliitika on kusagil mujal juba olemas — näiteks laialdasemad infoturbepolitiikas või identiteedi- ja juurdepääsuhaldussüsteemi seadistustes. ISO 27001 Lisa A kasutab sama loogika: paroolide jaoks pole eraldi kontrolli, kuid kontroll A.5.17 (autentimisteavet) kuulub juurdepääsuhalduse teemasse. Kui sul pole ISO-sertifikaati ja eraldi dokumenti, siis on "ei" sellel hetkel õige vastus eraldiseisvale paroolküsimusele — võimalike selgitustega, et mitmeteguriline autentimine on küll seadistatud, mida sageli hinnatakse kõrgemalt kui paroolipoliitikat ennast. See viimane on mitmes loetelus eraldi küsimus, vt küsimust mitmetegurilise autentimise kohta.

Millest see järeldub: Richtlijn (EU) 2022/2555 artikkel 21 lõige 2 punkt i ja j

Richtlijn (EU) 2022/2555 artikkel 21 lõige 2 nimetab punkt i juures "krüptograafia kasutamisega seotud poliitika ja protseduurid ning vajaduse korral kodeerimine" mitte paroolide asupaigana — need kuuluvad "juurdepääsukontrolli poliitika" alla (punkt i kümne meetme tavalises tõlkes) ja mitmetegurilise autentimise alla (punkt j). Cyberbeveiligingswet võtab selle jaotuse üle, kui see jõustub 15. augustil 2026. ISO/IEC 27001 Lisa A paigutab paroolihaldamise samuti juurdepääsuhalduse laiemat teemat, mitte iseseisva kontrollina.