Seznam vprašanj vprašuje o naši politiki gesel, kako odgovorim na to

Politika gesel spada pod nadzor dostopa, ne pod avtentifikacijo posebej

Politiko gesel običajno odgovoriš skupaj s širšo politiko dostopa: kdo sme dostopati do katerega sistema, kako se to dodeli in odvzame ter kakšne zahteve veljajo za sama gesla. Konkretno gre za minimalno dolžino, kompleksnost, obvezno spremembo ob sumnici zlorabe ter prepoved ponovne uporabe starih gesel. Številni portali to sprašujejo kot ločeno vprašanje, vendar v datoteki verige to spada med politiko dostopa, vključno z upravljanjem poslovnih sredstev — tam определиš, katera politika obstaja in kdo jo nadzoruje.

Če nemaš ločene, dokumentirane politike gesel, a imaš praktične dogovore — na primer prek upravljavca gesel ali uveljavljene nastavitve v Active Directory — je to pogosto zadosten dokaz, če ga lahko predstaviš. Če manjka vsaka dokumentacija, je »ne« pošten odgovor; sumnja, navedena kot dokaz, ne pomaga pri reviziji. Bodite pozorni na kombinacijo z večfaktorska avtentifikacija za dostop do podjetniških sistemov: vedno več strank to sprašuje kot dopolnilo ali zamenjavo stroge politike gesel, ker večfaktorska avtentifikacija v veliki meri zmanjša tveganje šibkega gesla.

Mogoče je slediti členu 21(2) in Prilogo A

Politika gesel ni samostojna obveznost, temveč razrada ukrepov v zvezi s kontrolo dostopa. V členu 21(2) direktive NIS2 (Direktiva (EU) 2022/2555) sta kontrola dostopa in upravljanje sredstev navedena kot ena od desetih obveznih ukrepov; politika gesel je tam najbolj konkretna razlaga tega. V Prilogii A standarda ISO/IEC 27001 se to pojavi med nadzornimi ukrepi za upravljanje dostopa in avtentifikacijskih podatkov. Organizacija, ki je certificirana za ta standard, ima politiko gesel skoraj vedno že dokumentirano kot del širše politike dostopa.