vor să știe cum arată politica noastră de parolă

Politica parolelor face parte din politica de acces, nu din MFA

Chestionarele prezintă "politica parolelor" de obicei ca o linie separată, dar răspunsul aparține din punct de vedere substanțial la politica de acces, inclusiv managementul mijloacelor de intreprindereDescrieți minimum: lungimea minimă, cerințele de complexitate, schimbarea obligatorie în caz de suspiciune de utilizare abuzivă (nu periodic standard — aceasta este considerată acum depășită) și ce se întâmplă după un număr de tentative de autentificare eșuate. Menționați, de asemenea, dacă parolele sunt gestionate central printr-un manager de parole sau un furnizor de identitate, sau dacă utilizatorii o fac singuri.

O greșeală frecventă: descrierea separată a politicii parolelor de la autentificarea multifactor pentru accesul la sistemele de întreprindere, în timp ce clientul adesea dorește să cunoască dacă o parolă slabă este compensată de un al doilea factor. Plasați deci aceste două răspunsuri unul lângă celălalt în dosarul lanțului, chiar dacă întrebătorul are nevoie de două întrebări separate — aceasta economisește o explicație pe care altfel ar trebui să o tastați din nou. Dacă nu aveți o politică de parolă stabilită, dar aveți obligatoriu un manager de parole pentru toată lumea, descrieți asta factual; "nu" cu o scurtă explicație este un răspuns mai complet decât un "da" care supraevaluează practica.

De unde vine asta: articolul 21 alineatul 2 și Anexa A

Politica de parolă nu apare ca punct separat în articolul 21 alineatul 2 din Directiva NIS2; aceasta cade sub măsura mai largă de control al accesului din acele zece măsuri. În ISO/IEC 27001 Annex A, aceasta se regăsește mai explicit ca o măsură de management în cadrul temei securității accesului. Întrebătorii care întreabă despre "politica de parolă" împrumută de obicei acest termen din Annex A, chiar dacă fac referire la obligațiile NIS2 — de aceea răspunsul în practică ajunge în același loc din dosarul dumneavoastră.