az ügyfél az általunk követett jelszóházirendről kérdez rá, mit válaszoljak

A jelszóházirendje a hozzáférés-szabályozás része, nem a kryptográfia

A jelszóházirendje a hozzáférés-szabályozás alá tartozik, nem a kryptográfia vagy az authentikáció alatt külön. Ha a lista a "password policy" vagy a "jelszóházirendje" után kérdez, általában azt ellenőrzik, hogy vannak-e minimális követelmények meghatározva: minimális hossz, bonyolultság, kötelező módosítás a kompromittálás gyanúja esetén, és a régi jelszavak újrafelhasználásának tilalma. Elegendő egy olyan irányelv-dokumentum, amely ezeket a pontokat tartalmazza, valamint egy technikai beállítás, amely azokat kikényszeríti — nem csak egy iránymutatás, amelyet a munkatársaknak meg kell felelniük. Ha hiányzik a dokumentum, de az Active Directoryban vagy az identity providerben az beállítás megfelelő, akkor ez gyakran már elegendő bizonyítékként szolgál; a rendszeradminisztrációban szereplő házirend képernyőképe ekkor elegendő.

Ha nincs külön jelszóházirendjed, de kötelező többfaktoros authentikáció van minden vállalati rendszerre, akkor ez a válasz gyakran erősebb, mint csak a jelszóházirendje — sok lista ezt külön pontként kérdezi meg, lásd vagy a többfaktoros authentikáció kötelező-e a vállalati rendszerekhez való hozzáféréshez. Töltsd ki ezt kiegészítésként, nem helyettesítésként: egy olyan ügyfél, aki kifejezetten jelszóházirendje után kérdez, ezt a pontot külön válaszként kívánja látni. Ha semmit nem rögzítettél, akkor a "nem" egy magyarázattal, hogy a többfaktoros authentikáció kötelező, gyakran őszintébb és teljesebb, mint egy homályos "igen" egy olyan kérdésre, amelyet nem tudsz dokumentummal alátámasztani.

Ahol ezt a normában és az irányelvben meghatározták

Az ISO/IEC 27001 Annex A egy specifikus ellenőrzési intézkedést tartalmaz az autentikációs információkra vonatkozóan, beleértve a jelszókezelést; aki erre tanúsított, erre hivatkozhat bizonyítékként, lásd hogy a szervezet ISO 27001-es tanúsítvánnyal rendelkezik-e. Az NIS2 maga nem említi a jelszóházirendet külön pontként az artikel 21(2) bekezdés tíz intézkedése között — ez a szélesebb körű hozzáférésszabályozás és a rendszerek biztonsága kategóriába tartozik. Az NIS2-re hivatkozó kérdőívek ezt a szélesebb körű pontot gyakran maguk fordítják le konkrét jelszókérdésre; az alapjául szolgáló követelmény ekkor az összességében meghatározott hozzáférési politika, nem pedig konkrétan a jelszavak.