asiakas kysyy salasanaperiaatteestamme, mitä minun pitää vastata

Salasanaperiaate on osa pääsynhallintaa, ei salausta

Salasanaperiaate kuuluu pääsynhallintaan, ei salaukseen tai todentamiseen erikseen. Jos lomake kysyy "password policy" tai "salasanaperiaatteesta", tarkistetaan yleensä, onko vähimmäisvaatimukset määritetty: vähimmäispituus, monimutkaisuus, pakollinen vaihtaminen kompromitoimisen epäilyssä ja vanhojen salasanojen uudelleenkäytön kielto. Riittävää on periaatteita koskeva asiakirja, jossa nämä kohdat mainitaan, sekä tekninen asetus, joka ne täytäntöön panemaan — ei pelkästään ohje, jonka työntekijöiden oletetaan noudattavan. Jos asiakirja puuttuu mutta asetus on oikein Active Directoryssa tai identiteetin tarjoajassa, se on usein riittävä todistusaineisto; kuvakaappaus periaatteesta järjestelmän hallinnassa riittää silloin.

Jos sinulla ei ole erillistä salasanaperiaatetta mutta kaksivaiheinen todentaminen on pakollinen kaikissa yrityksen järjestelmissä, kyseinen vastaus on usein vahvempi kuin salasanaperiaate yksinään — monet lomakkeet kysyvät sitä erillisenä kohtana, katso tai kaksivaiheinen todentaminen on pakollinen pääsylle yrityksen järjestelmiin". Täytä se täydennyksenä, ei korvikkeena: asiakas, joka erityisesti kysyy salasanaperiaatteesta, haluaa nähdä kyseisen kohdan vastatuksi erikseen. Jos mitään ei ole dokumentoitu, niin "ei" perustelu kanssa, että MFA on pakollinen, on usein rehellisempi ja täydellisempi kuin epämääräinen "kyllä" kysymykseen, jonka et voi asiakirjalla todentaa.

Missä se normeissa ja ohjeissa mainitaan

ISO/IEC 27001 Liitteessä A on erityinen hallintakeino todennusvaatimuksille, mukaan lukien salasananhallinta; joka on sertifioitu tähän, voi viitata siihen todistusaineiston lähteenä, katso onko yritys ISO 27001 -sertifioitu". NIS2 itse ei mainitse salasanaperiaatetta erillisenä kohtana artiklan 21 kohdan 2 kymmenen toimenpiteen joukossa — se kuuluu laajempaan pääsynvalvontaan ja järjestelmien turvaamiseen. Lomakkeet, jotka viittaavat NIS2:een, tulkitsevat tämän laajemman kohdan usein itse konkreettiseksi salasanakysymykseksi; taustalla oleva vaatimus on silloin pääsynvalvontaperiaate kokonaisuudessaan, ei erityisesti salasanat.