jautājumu saraksts prasa par mūsu paroles politiku, vai tā jābūt rakstiskā veidā fiksētai

Paroles politika ir daļa no piekļuves politikas, ne kā atsevišķs elements

Jā, rakstiskā veidā fiksēta paroles politika ir norma, ko jautājumu saraksts sagaida — bet pats jautājums parasti ir plašāks nozīmē nekā tikai paroles. NIS2 direktīvas 21. panta 2. punkts nepiedēvē atsevišķu "paroles politiku" kā atsevišķu pasākumu; paroles ietilpst punktā (i), piekļuves kontroles politikā, un punktā (j), daudzfaktoru autentifikācijas izmantošanā. Ja jautājumu saraksts konkrēti prasa par paroles politiku, parasti tiek pārbaudīts, vai tas ir daļa no plašāka piekļuves politikas rakstiskā veidā ir fiksēts: kurš saņem kādas tiesības, kā ir veidota parole, cik bieži tā tiek mainīta, kas notiek darba attiecību izbeigšanas gadījumā.

Ja tev nav atsevišķa dokumenta, tad jautājums ir, vai politika jau pastāv citur — piemēram, plašākā informācijas drošības politikā vai identitātes un piekļuves pārvaldības sistēmas iestatījumos. ISO 27001 Annex A darbojas pēc tās pašas loģikas: nav atsevišķa kontroles paroļu lietošanai, bet kontrole A.5.17 (autentifikācijas informācija) ietilpst piekļuves vadības tēmā. Ja tev nav ISO sertifikāta un nav atsevišķa dokumenta, tad "nē" šobrīd ir pareizā atbilde uz atsevišķo paroles jautājumu — iespējams, ar paskaidrojumu, ka daudzfaktoru autentifikācija tomēr ir ieviesta, kas bieži vien tiek novērtēta augstāk nekā pati paroles politika. Pēdējais ir atsevišķs jautājums daudzos sarakstos, sk. jautājumu par daudzfaktoru autentifikāciju.

Kur tas izriet: direktīvas 21. panta 2. punkta i un j apakšpunkts

Direktīvas (ES) 2022/2555 21. panta 2. punkts i apakšpunktā min "politika un procedūras attiecībā uz kriptogrāfijas izmantošanu un, attiecīgā gadījumā, šifrēšanu" — tas nav parožu pārvaldības vieta, kas ietilpst "piekļuves kontroles politikā" (i apakšpunkts desmit pasākumu parastajā tulkojumā) un multifaktoru autentifikācijā (j apakšpunkts). Kibernespēju likums pieņems šo sadalījumu, kad tas 2026. gada 15. augustā stāsies spēkā. ISO/IEC 27001 Annex A arī novieto paroles pārvaldību plašākā piekļuves vadības tēmā, nevis kā patstāvīgu kontroli.