klient küsib meie paroolipoliitika kohta, mida peaksin vastama

Paroolipoliitika on juurdepääsukontroli osa, mitte krüptograafia

Paroolipoliitika kuulub juurdepääsukontroli alla, mitte krüptograafia või autentimise alla eraldi. Kui küsimustik küsib "password policy" või "paroolipoliitika" kohta, kontrollitakse tavaliselt, kas on kehtestatud miinimumnõuded: miinimumpikkus, keerukus, kohustuslik vahetamine kahtluse korral, et parooli on kompromiteeritud, ja keeld vanade paroolide taaskasutamisele. Piisav on poliitika dokument, mis neid punkte sisaldab, pluss tehniline seadistus, mis neid jõustab — mitte ainult juhend, mida töötajatel on oodata järgida. Kui dokument puudub, kuid seadistus on Active Directory või identiteedipakkujas hästi konfigureeritud, piisab sellest sageli tõendusmaterjaalina; paroolipoliitika kuvatõmmis süsteemihalduses on siis piisav.

Kui sul puudub eraldi paroolipoliitika, kuid sa nõuad mitmetasemelise autentimise kohustuslikku kasutamist kõigile ettevõtte süsteemidele, on see vastus sageli tugevam kui ainult paroolipoliitika — paljud küsimustikud küsivad seda eraldi punktina, vt või mitmetasemelise autentimise nõue juurdepääsuks ettevõtte süsteemidele. Täida seda täiendusena, mitte asendajana: klient, kes konkreetselt paroolipoliitika kohta küsib, soovib seda punkti eraldi vastust näha. Kui sul midagi kehtestatud pole, on "ei" koos selgitusega, et MFA on kohustuslik, sageli ausam ja täielikum kui ebamäärane "jah" küsimusele, mida sa dokumentiga toetada ei saa.

Kus see normis ja juhendis seisab

ISO/IEC 27001 Annex A sisaldab autentimisteavega seotud juhtimismeetmeid, sealhulgas paroolihaldust; kes on selle jaoks sertifitseeritud, võib sellele viidata tõendusmaterjaalina, vt kas ettevõte on ISO 27001-sertifitseeritud. NIS2 ise ei nimeta paroolipoliitika eraldi punktina artikli 21 lõike 2 kümnest meetmest — see kuulub laiemate juurdepääsukontroli ja süsteemide kaitse kategooria alla. Küsimustikud, mis viitavad NIS2-le, tõlgivad seda laiendatud punkti sageli ise konkreetseks parooliksimuseks; aluseks olev nõue on siis juurdepääsupoliitika tervikuna, mitte paroolid konkreetselt.