jak opisać naszą politykę haseł w ankiecie dotyczącej bezpieczeństwa klienta

Polityka haseł jest częścią zarządzania dostępem, nie kryptografii

Pytanie dotyczące polityki haseł zwykle nie pojawia się jako osobne pytanie, ale jako część szerszego bloku dotyczącego zarządzania dostępem. Dlatego też nie opisuj tylko samych zasad haseł — minimalną długość, złożoność, okres ważności — ale umieść je w kontekście tego, kto ma dostęp do jakiego systemu i jak się to zarządza. Klient pytający o politykę haseł faktycznie pyta o zarządzanie tożsamością i dostępem. Jeśli polityka dostępu jest ustalona, łącznie z zarządzaniem zasobami firmy, polityka haseł jest jedną zasadą z niej wynikającą, a nie osobnym dokumentem.

W przypadku dostawcy, który sam podlega normie bezpieczeństwa, klient oczekuje czegoś więcej niż tylko "hasła muszą mieć co najmniej 8 znaków". Opisz, czy polityka haseł jest wdrażana technicznie (poprzez domenę lub dostawcę tożsamości) czy tylko na papierze, i czy menedżer haseł jest obowiązkowy czy zalecany. Wspomni też, czy istnieją konta udostępniane i jak się je obsługuje — to często pytanie następne. Jeśli brakuje formalnej polityki haseł, bardziej uczciwe jest poinformować o tym niż zaznaczać "tak", który nie może być poparty dokumentacją; wielu klientów akceptuje środek kompensujący, taki jak obowiązkowy uwierzytelnianie wieloskładnikowe dla dostępu do systemów biznesowych, jako alternatywa dla ścisłej polityki haseł.

Gdzie to znajduje się w dziesięciu środkach

Polityka haseł wchodzi w zakres środków kontroli dostępu w artykule 21 ust. 2 dyrektywy NIS2, gdzie jest wymieniana wraz z bezpieczeństwem personelu i zarządzaniem zasobami biznesowymi jako jeden z dziesięciu środków do podjęcia. W ISO/IEC 27001 zostało to opracowane w środkach kontroli zawartych w Aneksie A, w kategorii bezpieczeństwa dostępu — tutaj polityka haseł jest wyraźnie powiązana z szerszą polityką uwierzytelniania, a nie z izolowanymi ustawieniami technicznymi. Dla dostawców, którzy będą podlegać ustawie o cyberbezpieczeństwie po jej wejściu w życie, oczekuje się, że będzie obowiązywać taki sam podział, ponieważ ustawa ta naśladuje podział zawarity w dyrektywie.