he haluavat tietää, millainen salasanakäytäntömme on

Salasanakaava on osa pääsynhallintakäytäntöä, ei MFA:ta

Kyselyissä "salasanakaava" esitetään yleensä erillisenä rivinä, mutta vastaus kuuluu asiallisesti pääsynhallintakäytäntöä, mukaan lukien liikevaihdetta omaisuuden hallintaaKuvaile vähintään: vähimmäispituus, monimutkaisuusvaatimukset, pakollinen vaihto väärinkäytön epäilyn yhteydessä (ei normaalia säännöllistä — sitä pidetään nykyään vanhentuneena), ja mitä tapahtuu useiden epäonnistuneiden kirjautumisyrityksen jälkeen. Mainitse myös, hallitaanko salasanat keskitetysti salasanahallinnon tai identiteetin tarjoajan kautta vai hoitavatko käyttäjät tämän itse.

Yleinen virhe: salasanakaava kuvataan erikseen multifaktoritodennus pääsylle yrityksen järjestelmiin, kun asiakkaalla on usein juuri tarve tietää, kompensoituuko heikko salasana toisella kertoimella. Aseta nämä kaksi vastausta siis rinnakkain ketendossiereissa, vaikka kysyjä esittäisikin ne kahtena erillisenä kysymyksenä — se säästää selityksen, joka muuten täytyy kirjoittaa uudelleen kerta toisensa jälkeen. Jos sinulla ei ole dokumentoitua salasanakäytäntöä mutta salasanahallinta on pakollinen kaikille, kuvaile se faktuaalisesti; "ei" lyhyellä selvityksellä on täydellisempi vastaus kuin "kyllä" joka yliarvioi käytäntöä.

Missä tämä tulee: artikla 21 luku 2 ja Liite A

Salasanakaava ei ole erillinen kohta NIS2-direktiivin 21 artiklan 2 kohdassa; se kuuluu laajempaan pääsynvalvontaa koskevaan toimenpiteeseen näiden kymmenen toimenpiteen joukossa. ISO/IEC 27001:n liitteessä A se löytyy eksplisiittisemmin pääsynsuojauksen teemaan liittyvän hallintotoimenpiteen osalta. Kysyjät, jotka kysyvät "salasanakaavoista", lainaavat termiä yleensä liitteestä A, vaikka viittaisivatkin NIS2-velvollisuuksiin — siksi vastaus käytännössä päätyy dossierin samaan kohtaan.