ako opíšem našu politiku hesiel v bezpečnostnom dotazníku klienta

Politika hesiel je súčasťou riadenia prístupu, nie kryptografie

Otázka na politiku hesiel zvyčajne nie je samostatnou otázkou, ale súčasťou širšieho bloku o riadení prístupu. Preto nepopisujte len samotné pravidlá hesiel — minimálna dĺžka, zložitosť, doba platnosti — ale umiestnite ich do kontextu toho, kto má prístup do ktorého systému a ako sa to spravuje. Zákazník, ktorý sa pýta na politiku hesiel, sa v skutočnosti pýta na správu identity a prístupu. Keď je politika prístupu stanovená vrátane správy firemného majetku, je politika hesiel jedným pravidlom z nej, nie samostatným dokumentom.

V prípade dodávateľa, ktorý sám spadá pod normu bezpečnosti, zákazník očakáva viac než len „heslá musia mať minimálne 8 znakov". Opíšte, či je politika hesiel technicky vynútená (cez doménu alebo poskytovateľa identity) alebo existuje len na papieri, a či je správca hesiel povinný alebo odporúčaný. Uvedomte si tiež, či existujú zdieľané účty a ako sa s nimi nakladá — to je často nasledujúca otázka. Ak formálna politika hesiel chýba, je čestnejšie to oznámiť, ako zaškrtnúť áno, ktoré dossier nemôže podložiť; mnohí zákazníci akceptujú kompenzačné opatrenie, ako je povinná viacfaktorová autentifikácia pre prístup do firemných systémov, ako alternatíva k prísnej politike hesiel.

Kde sa to nachádza v desiatich opatreniach

Politika hesiel patrí medzi opatrenia na kontrolu prístupu v článku 21 ods. 2 smernice NIS2, kde sa spolu s bezpečnosťou personálu a správou firemného majetku spomína ako jedno z desiatich opatrení, ktoré sa majú prijať. V norme ISO/IEC 27001 je to vypracované v kontrolných opatreniach prílohy A, v kategórii bezpečnosti prístupu — tam je politika hesiel výslovne prepojená so širšou politikou autentifikácie, nie s jednotlivými technickými nastaveniami. Pre dodávateľov, ktorí budú podliehať Zákonu o kybernetickej bezpečnosti, keď vstúpi do účinnosti, sa vzhľadom na to, že tento zákon nasleduje rozdelenie smernice, pravdepodobne uplatňuje rovnaké rozdelenie.