Dotazník sa pýta na našu politiku hesiel, ako na to odpovedám

Politika hesiel spadá pod kontrolu prístupu, nie pod autentifikáciu oddelene

Politiku hesiel zvyčajne odpovedáš spolu so širšou politikou prístupu: kto má prístup k akému systému, ako sa to udeľuje a odníma, a aké požiadavky platia pre samotné heslá. Konkrétne ide o minimálnu dĺžku, zložitosť, povinné zmeny pri podozrení na zneužitie a zákaz opätovného použitia starých hesiel. Mnoho portálov si to pýta ako samostatnú otázku, ale v reťazovom súbore patrí to medzi politiku prístupu vrátane správy firemného majetku — tam zadokumentujete, aká politika existuje a kto ju kontroluje.

Ak nemáš samostatnú, zdokumentovanú politiku hesiel, ale máš praktické dohody — napríklad prostredníctvom správcu hesiel alebo vynútených nastavení v Active Directory — to je často dostatočné ako podloženie, pokiaľ to môžeš preukázať. Ak chýba akákoľvek dokumentácia, je "nie" poctivá odpoveď; vyplnenie podozrenia ako dôkazu nepomôže pri audite. Pozor na kombináciu s viacfaktorová autentifikácia pre prístup do firemných systémov: čoraz viac zákazníkov si to pýta ako doplnenie alebo náhradu prísnej politiky hesiel, pretože MFA do veľkej miery znižuje riziko slabého hesla.

Vzťahuje sa na článok 21 odsek 2 a Prílohu A

Politika hesiel nie je samostatným záväzkom, ale realizáciou opatrení okolo kontroly prístupu. V článku 21 odsek 2 smernice NIS2 (Smernica (EÚ) 2022/2555) je kontrola prístupu a správa aktív uvedená ako jedno z desiatich povinných opatrení; politika hesiel je tam najkonkrétnejšou realizáciou. V prílohe A normy ISO/IEC 27001 sa to objavuje pod kontrolnými opatreniami pre správu prístupu a autentifikačné informácie. Organizácia, ktorá je certifikovaná podľa tejto normy, má politiku hesiel takmer vždy dokumentovanú ako súčasť širšej politiky prístupu.