Stranka vprašuje o naši politiki gesel, kaj moram odgovoriti

Politika gesel je del nadzora dostopa, ne kriptografije

Politika gesel spada pod nadzor dostopa, ne pod kriptografijo ali avtentikacijo posebej. Če vprašalnik sprašuje o "password policy" ali "politiki gesel", se običajno preverja, ali so določene najmanjše zahteve: najmanjša dolžina, kompleksnost, obvezna sprememba ob sumu na kompromitiranost in prepoved ponovne uporabe starih gesel. Zadostno je dokument o politiki, ki vsebuje te točke, in tehnična nastavitev, ki jih vsili — ne le smernica, ki se od zaposlenih pričakuje, da jo sledijo. Če dokument manjka, vendar je nastavitev pravilna v storitvi Active Directory ali ponudniku identitete, je to pogosto že dovolj kot dokaz; posnetok zaslona politike v upravljanju sistema je v tem primeru zadosten.

Če nemaš ločene politike gesel, vendar imaš vsiljena večfaktorska avtentikacija za vse poslovne sisteme, je ta odgovor pogosto boljši od same politike gesel — mnogi vprašalniki to sprašujejo kot ločeno točko, glej ali je večfaktorska avtentikacija obvezna za dostop do poslovnih sistemov". Izpolni to kot dopolnilo, ne kot zamenjavo: stranka, ki posebej sprašuje o politiki gesel, želi to točko odgovorjeno posebej. Če nimaš nič dokumentiranega, je "ne" s pojasnilom, da je večfaktorska avtentikacija obvezna, pogosto bolj iskreno in popolno kot nejasno "da" na vprašanje, ki ga ne moreš podpreti z dokumentom.

Kjer je to v normi in smernici

ISO/IEC 27001 Annex A vsebuje specifičen nadzorni ukrep za avtentikacijske podatke, vključno z upravljanjem gesel; kdor je zanj certificiran, se lahko nanjo sklicuje kot na dokaz, glej ali je podjetje certificirano po ISO 27001". NIS2 sam ne omenja politike gesel kot ločene točke med desetimi ukrepi člena 21 odstavka 2 — spada pod širšo kategorijo nadzora dostopa in varnosti sistemov. Vprašalniki, ki se sklicujejo na NIS2, to širšo točko pogosto sami prevajajo v konkretno vprašanje o geslih; osnovna zahteva je potem celovita politika dostopa, ne le gesla posebej.