Zákazník sa pýta na našu politiku hesiel, ako mám odpovedať

Politika hesiel je súčasťou kontroly prístupu, nie kryptografie

Politika hesiel patrí pod kontrolu prístupu, nie pod kryptografiu alebo autentifikáciu zvlášť. Ak zoznam otázok obsahuje "password policy" alebo "politika hesiel", zvyčajne sa kontroluje, či sú stanovené minimálne požiadavky: minimálna dĺžka, zložitosť, povinná zmena v prípade podozrenia na kompromitáciu a zákaz opätovného použitia starých hesiel. Postačujúce je dokumentu politiky, v ktorom sú tieto body obsažené, plus technické nastavenie, ktoré ich vynucuje — nie len smernica, ktorú majú zamestnanci dodržiavať. Ak chýba dokument, ale nastavenie je správne v Active Directory alebo v poskytovateľovi identity, často je to dostačujúce ako dôkaz; screenshot politiky v správe systému potom postačuje.

Ak nemáš samostatnú politiku hesiel, ale máš povolenú viacfaktorovú autentifikáciu pre všetky podnikové systémy, je táto odpoveď často silnejšia ako samotná politika hesiel — mnohé zoznamy otázok sa pýtajú na to ako samostatný bod, pozri alebo či je viacfaktorová autentifikácia povinná pre prístup k podnikovým systémom". Vyplň to ako doplnenie, nie ako náhradu: zákazník, ktorý sa konkrétne pýta na politiku hesiel, chce vidieť tento bod odpoveďaný zvlášť. Ak nemáš nič zdokumentované, potom je "nie" s vysvetlením, že viacfaktorová autentifikácia je povinná, často úprimnejšie a úplnejšie ako vágne "áno" na otázku, ktorú nemôžete podložiť dokumentom.

Kde je to uvedené v norme a smernici

ISO/IEC 27001 Príloha A obsahuje špecifické bezpečnostné opatrenie na autentifikačné informácie vrátane riadenia hesiel; kto je na to certifikovaný, môže sa na to odvolať ako na dôkaz, pozri Články 21 ods. 2 písm. d NIS2 výslovne uvádza "bezpečnosť dodávateľského reťazca vrátane bezpečnostných aspektov týkajúcich sa vzťahov medzi každou entitou a jej priamymi dodávateľmi alebo poskytovateľmi služieb" ako jedno z desiatich povinných opatrení. Poskytovateľ cloudu je takým priamym poskytovateľom služieb a umiestnenie údajov je bezpečnostným aspektom tohto vzťahu. ISO/IEC 27001 Príloha A to ďalej rozpracúva v rámci kontrolných opatrení pre vzťahy s dodávateľmi, čo vysvetľuje, prečo zákazníci to často spájajú s otázkami certifikácie — pozri tiež". Samotná NIS2 nespomína politiku hesiel ako samostatný bod medzi desiatimi opatreniami uvedenými v článku 21 odsek 2 — patrí tam pod širšiu kategóriu kontroly prístupu a bezpečnosti systémov. Zoznamy otázok, ktoré sa odvolávajú na NIS2, často tento širší bod sami prekladajú na konkrétnu otázku o heslách; základná požiadavka je potom politika prístupu ako celok, nie hesla konkrétne.