klients vaicā par mūsu paroles politiku - kas tur jābūt

Paroles politika ietilpst piekļuves drošībā, nevis kriptogrāfijā

Paroles politika apraksta, kā paroles tiek izveidotas, pārvaldītas un aizstātas: minimālais garums un sarežģītība, obligāta maiņa aizdomu gadījumā par ļaunprātīgu izmantošanu, aizliegums atkārtoti izmantot vecās paroles, un veids, kā paroles tiek glabātas (hešētas, nevis vienkāršā tekstā). Klienti to parasti jautā kā daļu no piekļuves politikas, ieskaitant uzņēmuma resursu pārvaldību, nevis kā atsevišķu kriptogrāfijas jautājumu. Šis atšķirums ir nozīmīgs tam, kuru atbildi aizpildīt: datu šifrēšana ir par kaut ko citu nekā tas, kā lietotājs ieiet sistēmā.

Bieži vien tas, kas trūkst, nav pati politika, bet pierādījums, ka tā tiek piemērota: tehnisks iestatījums identitātes sistēmā (Azure AD, Okta vai līdzīgi), kas piespiedu kārtā nodrošina minimālas prasības, nevis dokuments, ko darbinieki tiek iegrūsti lasīt. Ja jums šāda pierādījuma nav, tad aizpildiet "jā" uz jautājumu par politikas piemērošanu — tikai uz jautājumu par politikas esamību, ja šis dokuments patiešām pastāv. Arvien vairāk atsevišķa paroles politika tiek uzskatīta par mazāk nozīmīgu nekā jautājums par to, vai vairāku faktoru autentifikācija ir obligāta: spēcīga parole ar MFA praksē sver vairāk nekā gara parole bez MFA.

Kur tas atrodas normā un vadlīnijās

ISO/IEC 27001 piekļuves drošības vadības pasākumos Pielikumā A apstrādā paroles pārvaldību (autentifikācijas informācija ir atsevišķa kontrole); Direktīva (ES) 2022/2555 min piekļuves kontroli un autentifikāciju kā vienu no desmit 21. panta 2. punkta pasākumiem, nenorādot konkrēti paroles noteikumus — direktīva pārvaldību atstāj organizācijas ziņā. Jautājumliksts, kurš jautā par "paroles politiku", parasti tulko vienu no šiem diviem avotiem konkrētā, pārbaudāmā jautājumā.