klients jautā par mūsu paroles politiku, ko man jāatbild

Paroles politika ir piekļuves kontroles daļa, nevis kriptogrāfija

Paroles politika ietilpst piekļuves kontrolē, nevis kriptogrāfijā vai autentifikācijā atsevišķi. Ja jautājumu saraksts prasa par "password policy" vai "paroles politiku", parasti tiek pārbaudīts, vai ir noteiktas minimālās prasības: minimālais garums, sarežģītība, obligāta maiņa, ja tiek aizdomāta kompromitēšana, un vecas paroles atkārtošanas aizliegums. Pietiekami ir politikas dokuments, kurā ir minētie punkti, kā arī tehnisks iestatījums, kas tos piemēro — ne tikai vadlīnijas, kuras darbiniekiem gaidīts ievērot. Ja dokuments trūkst, bet iestatījums Active Directory vai identitātes pakalpojumu sniedzējā ir pareizs, tas bieži jau ir pietiekams pierādījums; sistēmas administrēšanas politikas ekrānuzņemums tad ir pietiekams.

Ja jums nav atsevišķas paroles politikas, bet ir obligāta daudztūlīta autentifikācija visiem korporatīvajiem sistēmiem, tad šis atbilde bieži ir spēcīgāka nekā tikai paroles politika — daudzi jautājumu saraksti to uzdod kā atsevišķu punktu, skatīt vai daudztūlīta autentifikācija ir obligāta piekļuvei korporatīvajām sistēmām. Aizpildiet to kā papildinājumu, ne kā aizvietošanu: klients, kurš konkrēti prasa par paroles politiku, vēlas redzēt šo punktu atsevišķi atbildētu. Ja jums nekas nav dokumentēts, tad "nē" ar paskaidrojumu, ka MFA ir obligāta, bieži ir godīgāk un pilnīgāk nekā neskaidrs "jā" uz jautājumu, kuru nevarat dokumentēt.

Kur tas atrodas normā un vadlīnijās

ISO/IEC 27001 Annex A satur konkrētu drošības pasākumu autentifikācijas informācijai, tostarp paroles pārvaldei; kurš tam ir sertificēts, var uz to atsaukties kā pierādījumu, skatīt vai uzņēmums ir ISO 27001-sertificēts. Pats NIS2 neminēs paroles politiku kā atsevišķu punktu starp desmit pasākumiem Regulā (ES) 2022/2555 21. panta 2. punktā — tas ietilpst plašākā piekļuves kontroles un sistēmu drošības kategorijā. Jautājumu saraksti, kas atsaucas uz NIS2, bieži paši tulko šo plašāko punktu par konkrētu paroles jautājumu; pamatā esošā prasība tad ir piekļuves politika kopumā, ne tikai paroles.