paroolipoliitika

Paroolipoliitika on organisatsiooni kehtestatud reeglistik, mis sätestab kasutajate loodavate paroolide loomise, haldamise ja kasutamisega seotud nõuded. Selle eesmärk on tagada turvaline autentimine, piirata volitamata juurdepääsu ning vähendada riske, mis kaasnevad nõrkade või korduvkasutatavate paroolide kasutamisega.

Peamised elemendid hõlmavad: minimaalne pikkus ja kasutajale sobiv paroolikonstruktsioon; soovitatav on pikk passphrase või keerukas, kuid meeldejääv parool; korduvkasutuse keeld; ebaõnnestunud sisselogimiste piirang ja konto lukustamine. Soovitav on kasutusele võtta mitmikfaktoriline autentimine (MFA) ning vajadusel kehtestada sisselogimise piirangud eri platvormidel ja eri rollidele.

Paroolide haldamine peab toimuma turvaliselt: parooli ei tohi salvestada loetud tekstina ning kasutatakse turvalisi räsi- ja soolameetodeid ning paroolihalduse tööriistu. Soovitav on kasutada algoritme nagu Argon2, bcrypt või scrypt. Lisaks tuleb kasutajatele pakkuda koolitust, juhiseid paroolide haldamiseks ja järelevalvet logide jälgimiseks. Organisatsioonide vahel võivad soovitused varieeruda sõltuvalt riskist ja regulatiivsetest nõuetest.

Seosed standarditega ja regulatiivse raamistikuga annavad lisavõimalusi: NIST SP 800-63B ja ISO/IEC 27001 pakuvad juhiseid autentimismeetodite ja paroolide haldamise korraldamiseks. Paroolipoliitika peaks olema dokumenteeritud, kergesti järele kontrollitav ja tavakasutajale arusaadav.