viņi vēlas zināt, kā izskatās mūsu paroles politika

Paroles politika ir piekļuves politikas daļa, nevis MFA

Jautājumnika parasti "paroles politiku" norāda kā atsevišķu punktu, bet atbilde satura ziņā pieder pie piekļuves politikā, ieskaitant darba līdzekļu pārvaldībuAprakstiet vismaz: minimālo garumu, sarežģītības prasības, obligātu maiņu nozīmes gadījumā (nevis standarta periodiski — tas mūsdienās tiek uzskatīts par novecojušu), un kas notiek pēc vairākām neveiksmīgām pierakstīšanās mēģinājumiem. Norādiet arī, vai paroles tiek centrāli pārvaldītas, izmantojot paroles pārvaldnieku vai identitātes nodrošinātāju, vai lietotāji to dara paši.

Izplatīta kļūda: paroles politiku aprakstīt atsevišķi no vairākfaktoru autentifikācija piekļuvei uzņēmuma sistēmām, kaut arī klients bieži vēlas uzzināt, vai vāja parole tiek kompensēta ar otro faktoru. Tāpēc šos divus atbildes variantus novietojiet blakus ketenes dosijē, pat ja jautājuma uzdodējam tas nozīmē divus atsevišķus jautājumus — tas ietaupa paskaidrojumu, ko citādi katru reizi būtu jāatkārto. Ja jums nav noteiktas paroles politikas, bet obligāts paroles pārvaldnieks visiem, aprakstiet to faktiskā: "nē" ar īsu paskaidrojumu ir pilnvērtīgāka atbilde nekā "jā", kas praksi pārvērtē.

No kurienes tas nāk: 21. pants, 2. punkts un Pielikums A

Paroles politika nav atsevišķs punkts Direktīvas NIS2 21. panta 2. punktā; tā ir daļa no plašāka piekļuves kontroles pasākuma šajās desmit pasākumu kategorijās. ISO/IEC 27001 Annex A tas ir skaidrāk atrodams kā kontroles pasākums piekļuves drošības tēmā. Jautājuma uzdodēji, kas vaicā par "paroles politiku", parasti šo terminu aizņemas no Annex A, pat ja tie atsaucas uz NIS2 pienākumiem — tāpēc praksē atbilde nonāk tajā pašā vietā dosijē.