il-kliyent jistaqsu dwar il-politika tal-password tagħna x'għandu jkun fih

Il-politika tal-passwords taqa' taħt is-sigurtà tal-aċċess, mhux il-kriptografija

Politika tal-passwords tiddeskrivi kif il-passwords jiġu maħluqa, ġestiti u sostitwiti: tul minimu u kumplessità, bidla obbligatorja meta sospettat abbuż, projbizzjoni ta' riċiklaġġ tal-passwords qodma, u l-mod kif il-passwords jiġu maħfuza (imħaxxen, mhux test sempliċi). Il-klijenti jixtqu dan ġeneralment bħala parti ta' il-politika tal-aċċess, inkluż il-ġestjoni tal-assi aziendali, mhux bħala kwistjoni separata tal-kriptografija. Din id-distizzjoni hija rilevanti għall-iġieba li timpli: l-encryption tad-data tittratta xi ħadd ieħor milli kif user jidħol.

Dak li ħafna drabi nieqes mhux il-politika stess, iżda l-prova li tiġi forzata: setting tekniku fis-sistema tal-identità (Azure AD, Okta, jew simili) li tfaċċi rekwiżiti minimi, minflok dokument li l-impjegati għandhom jaqraw. Jekk m'għandekx din il-prova, aqbeż l-"iva" fuq il-mistoqsija jekk il-politika tiġi forzata — biss fuq il-mistoqsija jekk politika teżisti, jekk dak id-dokument realment hemm. Dejjem aktar ħafna, politika ta' passwords iżolata ssir inqas relevanti minn il-mistoqsija jekk l-awtentikazzjoni b'fattori multipli obbligatorju: password qawwi ma' MFA għandha piż praktiku akbar minn password twil mingħajr MFA.

Fejn jinsab dan fin-norma u l-gwida

ISO/IEC 27001 tittratta l-ġestjoni tal-passwords taħt il-miżuri ta' kontroll għas-sigurtà tal-aċċess f'Annex A (informazzjoni ta' awtentikazzjoni hija control separata hemm); Direttiva (UE) 2022/2555 tisemmi l-kontroll tal-aċċess u l-awtentikazzjoni bħala waħda mill-għaxar miżuri ta' Artikolu 21 paragrafu 2, mingħajr ma tispeċifika regoli partikolari tal-passwords — id-Direttiva tħalli l-implimentazzjoni teknika lill-organizzazzjoni. Mistoqsija li titlob "politika tal-passwords" tittraduċi għalhekk ġeneralment waħda minn dawn iż-żewġ sorsi għal mistoqsija konkreta u testabbli.