A kérdőív a jelszavakra vonatkozó irányelvünk után kérdez, hogyan válaszoljak erre

A jelszóházirendszer az access control részét képezi, nem az autentikációét külön

A jelszóházirendet általában a tágabb access control házirenddel együtt válaszolod meg: ki férhet hozzá mely rendszerekhez, hogyan kerül megadásra és visszavonásra ez a hozzáférés, és milyen követelmények vonatkoznak magára a jelszóra. Konkrétan a minimális hosszról, az összetettségről, az obfuszkáció gyanújában történő kötelező módosításról és a régi jelszavak újrafelhasználásának tilalmáról van szó. Sok portál ezt külön kérdésként kezelné, de a supply chain dossziéban ez a részét képezi az access control házirendnek a hozzáférési szabályzat, beleértve a vállalati eszközök kezelését — itt rögzíted, hogy milyen házirendek vannak érvényben és ki felügyeli azokat.

Ha nincs önálló, dokumentált jelszóházirenddel rendelkezésed, de vannak gyakorlati megállapodásaid — például jelszókezelőn vagy kényszerített Active Directory beállításokon keresztül —, ez gyakran elegendő támogatásnak, amennyiben fel tudod mutatni. Ha nincs semmilyen dokumentáció, akkor az "nem" a becsületes válasz; a feltételezés feltüntetése bizonyítékként nem segít az auditban. Figyelj oda a kombinációra a többtényezős hitelesítés a vállalati rendszerekhez való hozzáféréshezrel: egyre több ügyfél ezt kéri az erős jelszóházirendhez képest kiegészítésül vagy helyettesítésül, mert az MFA az erős jelszó hiányának kockázatát jelentős mértékben csökkenti.

A 21. cikk 2. bekezdésére és az A. mellékletére vezethető vissza

A jelszóházirendszer nem önálló kötelezettség, hanem az access control körül végzett intézkedések konkretizálása. A NIS2 irányelvben (2022/2555/EU irányelvben) a 21. cikk (2) bekezdésében az access control és az eszközkezelés szerepel a tíz kötelező intézkedés között; a jelszóházirendszer ennek a legkönkreértebb megvalósítása. Az ISO/IEC 27001 A mellékletében ez visszatér az access control és az autentikációs információ kezelésre vonatkozó irányítási szisztémák között. Egy szervezet, amely ehez a normához igazodva tanúsított, szinte biztosan már dokumentált jelszóházirenddel rendelkezik az access control tágabb házirendjének részeként.