az ügyfél az általunk követett jelszóházirendről kérdez rá, mit kell abban szerepelnie

A jelszavakkal kapcsolatos szabályzat a hozzáférés-biztonsági intézkedések közé tartozik, nem a kriptográfia közé

A jelszavakkal kapcsolatos szabályzat leírja, hogyan jönnek létre, kezelhetők és cserélhetők a jelszavak: minimális hossz és összetettség, kötelező módosítás visszaélés gyanúja esetén, a régi jelszavak újrafelhasználásának tilalma, valamint a jelszavak tárolásának módja (hashelve, nem egyszerű szövegben). Az ügyfelek ezt általában a hozzáférési szabályzat részeként, beleértve az üzleti eszközök kezelésétkérdezik, nem pedig külön kriptográfiai kérdésként. Ez a megkülönböztetés releváns annak szempontjából, hogy milyen választ jelölsz be: az adatok titkosítása valami másról szól, mint ahogy egy felhasználó bejelentkezik.

Amit gyakran hiányzik, az nem maga a szabályzat, hanem az annak betartatásáról szóló bizonyíték: a technikai beállítás az identitásrendszerben (Azure AD, Okta vagy hasonló), amely minimális követelményeket érvényesít, ahelyett, hogy egy dokumentum lenne, amelyet az alkalmazottaknak el kellene olvasniuk. Ha nincs meg ez a bizonyíték, ne jelölj be „igen többfaktoros hitelesítés ${annak a kérdésnek a megválaszolásánál, hogy a szabályzat betartható-e — csak arra az esetre, ha szabályzat létezik, ha az a dokumentum valóban megvan. Egyre gyakrabban az önálló jelszavakkal kapcsolatos szabályzat már kevésbé releváns annál a kérdésnél, hogy

Ahol ezt a normában és az irányelvben meghatározták

kötelező: egy erős jelszó MFA-val gyakorlatban fontosabbnak bizonyul, mint egy hosszú jelszó MFA nélkül.