küsimustik küsib, kuidas meie paroolipoliitika välja näeb

Paroolipoliitika kuulub juurdepääsukaitse alla, mitte krüptograafia alla

Paroolipoliitika küsimus kuulub juurdepääsukaitse juurde: kes võib millist süsteemi kasutada ja kuidas seda kontrollitakse. Kliendid küsivad seda tavaliselt eraldi küsimusena, kuid ketidossieesse kuulub see juurdepääsupoliitikat ja IT-varade haldustjuurdepääsukaitse alla, mitte krüpteerimise alla. Ärge ajage segamini: mõned küsimustikud panevad "paroolipoliitika" ja "krüpteerimine" kogemata samasse jaotisse, kuid need on kaks erinevat abinõud artikli 21 lõike 2 NIS2-st — juurdepääsukontroll (punkti h all) ja krüptograafia (punkt h on laiem, krüpteerimine asub eraldi selle lõike organisatsiooniliste abinõude all).

Konkreetselt küsitud tõendid on tavaliselt: minimaalne parooli pikkus, vahetus sagedus või just selle puudumine (uuem praktika ei soovita perioodilist vahetust mõnikord), ja kas kasutatakse paroolihaldurit või ühest kohast sisselogimist. Kui teil pole eraldi dokumenteeritud paroolipoliitikat, kuid teil on juurdepääsupoliitika, mis selle sisaldab, siis piisab see sageli aluseks olevaks tõendiks — vastus sõltub sellest, kui rangelt küsimus on sõnastatud. Kui paroolipoliitika puudub täielikult ja puudub ka mitmefaktoriga autentimine kompenseeriv abinõu, siis on "ei" lühikese selgitusega aus kui "jah", mida te ei saa toetada.

Kus see juhendis ja normi sees asub

Direktiivi (EL) 2022/2555 artikli 21 lõige 2 nimetab juurdepääsukontrolli poliitikat kui üht kümnest kohustusliku abinõu hulgast üksuste jaoks, mis jäävad direktiivi kohaldamisala; paroolihaldus on selle standardosa. ISO/IEC 27001-is on see välja töötatud lisas A juurdepääsukaitse kontrollabinõude all. Hollandi praktikas arvestab siiani juhend ise, kuna küberturvalisuse seadus jõustub ülevõtmisena 15. augustil 2026. Kui kahtlete, kas teie ettevõte kuulub selle alla, siis on see eraldi küsimus, mille te vastate eraldi või ettevõte ise ei kuulu NIS2-direktiivi alla.