cum descriu politica noastră de parolă în chestionarul de securitate al clientului

Politica de parolă face parte din controlul accesului, nu din criptografie

Întrebarea privind politica de parolă nu apare de obicei ca o întrebare separată, ci ca parte a unui bloc mai larg privind controlul accesului. Prin urmare, nu descrieți doar regulile de parolă în sine — lungimea minimă, complexitatea, termenul de expirare — ci plasați-le în contextul cine are acces la ce sistem și cum se gestionează. Un client care întreabă despre politica de parolă întreabă de fapt despre managementul identității și accesului. După ce politica de acces a fost stabilită inclusiv managementul activelor de afaceri, politica de parolă este una dintre regulile acesteia, nu un document în sine.

Pentru un furnizor care însuși cade sub o normă de securitate, clientul se așteaptă la mai mult decât doar "parolele trebuie să aibă minimum 8 caractere". Descrieți dacă politica de parolă este aplicată din punct de vedere tehnic (prin domeniu sau furnizor de identitate) sau doar pe hârtie, și dacă un manager de parolă este obligatoriu sau recomandat. Menționați, de asemenea, dacă există conturi partajate și cum se gestionează — aceasta este adesea întrebarea următoare. Dacă lipsește o politică formală de parolă, este mai onest să raportați aceasta decât să bifați un da care nu poate fi susținut de dosarul dumneavoastră; mulți clienți acceptă o măsură compensatorie, cum ar fi autentificarea multifactor obligatorie pentru accesul la sistemele de afaceri, ca alternativă la o politică strictă de parolă.

Unde se află aceasta în cele zece măsuri

Politica de parolă se încadrează în măsurile de control al accesului din articolul 21 alineatul 2 al Directivei NIS2, unde este menționată alături de securitatea personalului și managementul activelor de afaceri ca una dintre cele zece măsuri care trebuie luate. În ISO/IEC 27001, aceasta este detaliată în măsurile de control din Anexa A, sub categoria securității accesului — aici politica de parolă este în mod explicit legată de politica de autentificare mai largă, nu de setările tehnice izolate. Pentru furnizorii care vor cădea sub Legea privind securitatea cibernetică atunci când aceasta intră în vigoare, se așteaptă aceeași clasificare, deoarece legea urmează clasificarea din directivă.