Jak jsem to cetl, tak si rikam, treba ma nejaka respektovana entita (NIST?) pro toto guidelines? Kdyby to nekoho zajimalo, tak ma.
> I když v dnešní době dobře víme, že optimálním zabezpečením přístupu do aplikace je pro běžného uživatele dvoufaktorová autentizace...
K obdobnym prohlasenim jsem znacne skepticky. Spis by me prekvapilo, kdyby tohle za 5/10 let porad platilo.
Jen doplním, že jsme o tomhle aktualizovaném standardu pro přihlašování psali už v roce 2017. Je to známá věc, kterou bohužel nedodržují zdaleka všichni. Pořád od uživatelů kolem sebe slýchám, jak jsou nuceni ke zbytečné pravidelné změně hesel.
Chcete příklad ještě větší bezpečnosti?
Což taková povinná pravidelná výměna hesel, kdy pro změnu hesla potřebujete dvoufaktorovou autentizaci?
Jasně, to heslo je tak nějak lépe chráněné, tedy možná trochu důvěryhodnější - ale tak nějak se neřeší, co v případě, kdy uživatel to heslo napíše viditelně před kolegy do nesprávného políčka (toho, kdo vymyslel přihlašovací formulář, kde je jen jedno pole a to druhé se objeví samotné na další stránce po odeslání prvního, bych na chvíli pověsil do hodně studeného průvanu), nemá jednoduchou možnost je rychle změnit, nemá-li přichystaný jinak nepoužívaný token...
A tak hlavne to nedodrzuji ani na NUKIBu. Ten to dokonce cpe do vyhlasek jako explicitni povinnost hesla menit - a samozrejme to chteji nacpat i do provadecich vyhlasek k pripravovane transpozici NIS2, tzn. rozhodne nekopiruji trendy v teto oblasti, naopak zachovavaji zlozvyky z minulosti.
No a kdyz je to ve vyhlasce... tak obcas se v nejake organizaci najde chytrak, co vynucenou periodicitu nastavi na kratsi interval, nez je pozadovano - protoze kyberexperti z uradu stanovi jen horni mez, ale spodni si muze kazdy urcit dle sve libovule. A samozrejme u toho vykladaji, jak pravidelne zmeny hesel zvysuji bezpecnost.
Problem je, ze vyplody z NUKIBu se v nekterych situacich musite ridit, i kdyz tuto organizaci nerespektujete. Ted takovych subjektu neni az tak moc - ale s NIS2 ten pocet docela naroste. A treba pokud jen provozujete 10 tisic domen, uz se z vas stane subjekt, na ktery dopadnou vyssi povinnosti... i kdyby tech 10 tisic domen byly jen blogy o kockach, kralickach atd... ;-)
Chtělo by to nějaký mechanizmus jak úřad za totální nesmysl zažalovat, aby měl pak povinnost se veřejně omluvit a nasypat si za své pochybení popel na hlavu. Pan ředitel by pak měl napsat deseti stránkovou slohovku na téma, co všechno udělal, aby se to neopakovalo :) To by si pak dávali mnohem větší pozor na to s jakýma kravinama přijdou.
Tohle cislo je v draftech provadecich vyhlasek z NUKIB. Ono v NIS2 to primo neni - ale taky tam je napsano, ze nektere provadeci akty komise prijme do 17.rijna 2024 - aneb nas urad mozna i tak trosku predbiha.... a bohuzel se bavime primarne o tom, ze EU tady nebrani stanovit na narodni urovni vetsi prisnost, pricemz NUKIB opakovane neskryva svou ambici v ramci transpozice NIS2 "vyuzit prilezitost" a prisneji zregulovat tech veci u nas vic - treba i ten dodavatelsky retezec, ktery NIS2 vubec neresi. A to mate i ve verejnych vyporadani pripominek - na NUKIBu jsou bytostne presvedceni, ze regulovat veci vic, nez nam uklada EU je v naprostem poradku.
Ono tak nejak vseobecne je v cesku zvykem v ramci transpozice EU smernic toho "zahrnout vic" - ono se to ve finale kdyztak hodi na "zlou EU", ono malokdo se tim bude fakt do detailu prokousavat a overovat to, co prislo z unie a co jsou jen lokalni vymysly....