klientas klausia apie mūsų slaptažodžio politiką, ką man turėtų atsakyti

Slaptažodžio politika yra prieigos kontrolės dalis, o ne kriptografija

Slaptažodžio politika patenka į prieigos kontrolę, o ne į kriptografiją ar autentifikaciją atskirai. Jei sąrašas klausia apie „password policy

Jei neturite atskiro slaptažodžio politikos, bet privaloma daugiaetapė autentifikacija visose įmonės sistemose, tai tokia atsakymo parinktis dažnai yra stipresnė nei tik slaptažodžio politika — daugybė klausimynų tai klausia kaip atskirą punktą, žr. ar daugiaetapė autentifikacija yra privaloma, kai prieinama prie įmonės sistemų. Užpildykite tai kaip papildymą, o ne kaip pakeitimą: klientas, kuris konkrečiai klausia apie slaptažodžio politiką, nori, kad šis punktas būtų atsakytas atskirai. Jei nieko nefiksavai, tai "ne" su paaiškinimu, kad MFA yra privaloma, dažnai yra sąžiningiau ir pilniau nei neaiški "taip" į klausimą, kurį negali pagrįsti dokumentu.

Kur tai yra nurodyta normoje ir direktyvoje

ISO/IEC 27001 Annex A yra konkreti saugumo priemonė autentifikacijos informacijai, įskaitant slaptažodžių valdymą; kurie turi šio standarto sertifikatą, gali nurodyti tai kaip įrodymą, žr. ar įmonė turi ISO 27001 sertifikatą. Pati NIS2 neminėjo slaptažodžio politikos kaip atskirto punkto iš dešimties priemonių, nurodytų 21 straipsnio 2 dalyje — tai patenka į platesnę prieigos kontrolės ir sistemų apsaugos kategoriją. Klausimynai, nurodantys į NIS2, dažnai patys išverčia tą platesnį punktą į konkretų slaptažodžio klausimą; pagrindinė paraiška yra bendra prieigos politika, o ne slaptažodžiai konkrečiai.