kyselylomake kysyy salasanakäytännöstämme, kuinka vastaan siihen

Salasanaperiaate kuuluu pääsynhallintaan, ei erilliseen todentamiseen

Salasanaperiaatteesta vastaat yleensä yhdessä laajemman pääsynhallintokäytännön kanssa: kuka saa käyttää mitä järjestelmää, miten pääsy myönnetään ja peruutetaan, ja mitä vaatimuksia salasanoille itselleen asetetaan. Käytännössä kyse on vähimmäispituudesta, monimutkaisuudesta, pakolliset vaihdot epäilyttävän väärinkäytön yhteydessä ja vanhojen salasanojen uudelleenkäytön kiellosta. Monet portaalit kysyvät tätä erillisenä kysymyksenä, mutta ketjudokumentaatiossa se kuuluu pääsynhallintakäytäntöä, mukaan lukien liikevaihdetta omaisuuden hallintaa — siellä dokumentoit mitä käytäntöjä on voimassa ja kuka valvoo niiden noudattamista.

Jos sinulla ei ole erillistä dokumentoitua salasanaperiaatetta mutta käytäntö on olemassa — esimerkiksi salasanojen hallinnan kautta tai Active Directory -pakotuksien avulla — se on usein riittävää perustelua, kunhan voit osoittaa sen. Jos mitään dokumentaatiota ei ole, "ei" on rehellinen vastaus; arvelujen kirjoittaminen todisteiksi ei auta auditoinnissa. Huomio yhdistelmään monivaiheisen todentamisen vaatimuksen liiketoimintajärjestelmien käyttöä varten": yhä useammat asiakkaat kysyvät tätä täydennyksenä tai jopa korvikkeena tiukalle salasanaperiaatteelle, koska monitekijäisen todentamisen seurauksena heikko salasana ei ole niin riskialtista.

Jäljitettävissä artiklan 21 kohdan 2 ja liitteen A perusteella

Salasanaperiaate ei ole itsenäinen velvoite vaan pääsynvalvontaa koskevien toimenpiteiden täsmentäminen. NIS2-direktiivin (Direktiivi (EU) 2022/2555) 21 artiklan 2 kohdassa mainitaan pääsynvalvonta ja omaisuudenhallinta yhtenä kymmenestä pakollisesta toimenpiteestä; salasanaperiaate on sen täsmentävin soveltaminen. ISO/IEC 27001:n liitteessä A tämä tulee esille pääsynhallinnan ja todentamistiedon hallintaa koskevissa hallintotoimenpiteissä. Organisaatio, joka on sertifioitu tälle standardille, on tavallisesti jo dokumentoinut salasanaperiaatteen osana laajempaa pääsynhallintakäytäntöä.