kuinka kuvaan salasanojen hallinnan menettelytapaa asiakkaan turvallisuuskyselylomakkeessa

Salasanakäytäntö on osa pääsynhallintaa, ei salauksesta

Kysymys salasanakäytäntöä koskien ei yleensä esiinny erillisenä kysymyksenä, vaan osana laajempaa pääsynhallintoa koskevaa osiota. Kuvaile siis ei pelkästään salasanasääntöjä — vähimmäispituutta, monimutkaisuutta, voimassaoloaikaa — vaan aseta ne kontekstiin siitä, kenen käyttöoikeus on mihin järjestelmään ja miten sitä hallitaan. Asiakas, joka kysyy salasanakäytännöstä, kysyy pohjimmiltaan henkilöllisyyden ja pääsynhallinnan järjestelmistä. Jos pääsynhallintakäytäntö on vahvistettu mukaan lukien yritysten omaisuuden hallinta, salasanakäytäntö on siitä yksi sääntö, ei itsenäinen asiakirja.

Toimittajalla, joka on itse arvopaperistandardin alainen, asiakas odottaa enemmän kuin pelkkää "salasanojen tulee olla vähintään 8 merkkiä pitkiä". Kuvaile, sovelletaanko salasanakäytäntöä teknisesti (verkkotunnuksen tai henkilöllisyystodentajien välityksellä) vai pelkästään paperilla, ja ovatko salasananhallintajat pakollisia vai suositeltavia. Mainitse myös jaettujen tilien olemassaolo ja niiden käsittely — se on usein seuraava kysymys. Jos muodollista salasanakäytäntöä ei ole, on rehellisempää ilmoittaa se kuin valita kyllä, jonka dossieri ei voi tukea; monet asiakkaat hyväksyvät kompensoivan toimenpiteen, kuten monivaiheisen todentamisen vaatimuksen liiketoimintajärjestelmien käyttöä varten, tiukan salasanakäytännön vaihtoehtona.

Missä tämä on kymmenen toimenpiteen joukossa

Salasanakäytäntö kuuluu pääsynvalvontaa koskeviin toimenpiteisiin NIS2-direktiivin 21 artiklan 2 kohdassa, jossa se mainitaan henkilöstöturvallisuuden ja yritysten omaisuuden hallinnan kanssa yhtenä otettavista kymmenestä toimenpiteestä. ISO/IEC 27001 -standardissa tämä on laadittu Annex A:n johdantovaatimuksissa pääsynturvallisuuden kategoriassa — siellä salasanakäytäntö liitetään nimenomaisesti laajempaan todentamiskäytäntöön, ei erillisiin teknisiin asetuksiin. Toimittajille, joihin Kyberturvalaaki sovelletaan, kun se tulee voimaan, sovelletaan odotettavasti samaa jaottelua, koska laki noudattaa direktiivin jaottelua.