искат да знаят как изглежда нашата политика за пароли

Политиката за пароли е част от политиката за достъп, не от MFA

Списъците с въпроси обикновено третират "политиката за пароли" като отделен елемент, но отговорът по същество принадлежи политиката за достъп, включително управлението на корпоративни ресурсиОпишете минимум: минимална дължина, изисквания за сложност, задължителна смяна при подозрение за злоупотреба (не стандартна периодична смяна — в настоящия момент това се счита за остаряло) и какво се случва след определен брой неудачни опити за вход. Посочете също дали паролите се управляват централизирано чрез диспетчер на пароли или доставчик на самоличност, или че потребителите управляват това сами.

Честа грешка: описване на политиката за пароли отделно от многофакторната аутентификация за достъп до корпоративни системи, докато клиентът gyakran точно иска да знае дали слабата парола се компенсира от втори фактор. Поставете тези два отговора един до друг в дозиера на веригата, дори ако това струва на задаващия въпроса две отделни въпроса — спестявате обяснение, което иначе трябва да пишете отново и отново. Ако нямате установена политика за пароли, но имате задължителен диспетчер на пароли за всички, опишете това фактически; "не" с кратко обяснение е по-пълен отговор от "да", което надценява практиката.

Откъде идва това: член 21, параграф 2 и Приложение А

Политиката за пароли не се появява като отделен пункт в член 21, параграф 2 на Директивата NIS2; тя попада под по-широката мярка за контрол на достъпа в рамките на тези десет мерки. В ISO/IEC 27001 Приложение A тя е по-явна като мярка за управление в рамките на темата за сигурност на достъпа. Задаващите въпроси, които питат за "политика за пароли", обикновено вземат този термин от Приложение A, дори ако цитират NIS2 задължения — поради което отговорът на практика попада на същото място в дозиера.