lösenordspolicys

Lösenordspolicyn är en uppsättning regler och riktlinjer som styr hur lösenord skapas, hanteras och används inom en organisation. Syftet är att stärka autentisering och minska risken för kontokapning genom att försvåra obehörig användning.

En typisk lösenordspolicy innehåller krav på lösenordets längd och komplexitet, t.ex. minst åtta tecken och blandning av stora och små bokstäver, siffror och specialtecken. Den kan även ange lösenordshistoria för att hindra återanvändning av gamla lösenord och en spärrfunktion som låser kontot efter ett visst antal misslyckade inloggningsförsök. Återställningsrutiner bör finnas, med verifiering av identitet och säkra kanaler för lösenordsåterställning.

Lagring och hantering av lösenord ska ske på ett säkert sätt, vanligtvis genom att använda starka hash-funktioner som Argon2, bcrypt eller scrypt och salta lösenorden. Målet är att motstå försök att avkoda lösenord om databrott sker.

MFA (tvåfaktors- eller flerfaktorsautentisering) rekommenderas ofta som komplement till lösenordet för att höja skyddsnivån. Policyer för särskilda konton, som administratörer, är ofta strängare och inkluderar strikt åtkomstkontroll och regelbunden genomgång.

Rotation av lösenord var tidigare vanlig men många moderna riktlinjer förespråkar riskbaserad eller eventbaserad rotation och begränsad förändring utan tecken på misstanke. Efterlevnad regleras ofta av standarder som ISO 27001, NIST SP 800-63 och tillämpliga dataskyddslagstiftningar. Policyn bör regelbundet revideras och kommuniceras till användarna samt följa organisationens säkerhetsmål och risker.