3. Pravidla tvorby hesla v systémech pro nakládání s utajovanými informacemi
V tomto okruhu jsou popsána pravidla na vytváření hesla v systémech pro nakládání s utajovanými informacemi, jeho ochranu a zodpovědnost za jeho případné zneužití.
Pravidla pro tvorbu hesel
Po obdržení přístupových údajů a prvním přihlášení do informačního systému je nutné změnit přístupové heslo podle následujících pravidel:
- heslo musí obsahovat minimálně 14 znaků,
- heslo musí obsahovat min. 3 typy znaků (malá písmena, velká písmena, číslice nebo speciální znaky jako je např. pomlčka, vykřičník, lomítko, …),
- heslo musí být určeno uživatelem, tzn. nelze použít heslo, které vám někdo poradí, musíte si ho „vymyslet sami“,
- heslo nesmí obsahovat přihlašovací jméno uživatele ani ve změněné formě,
- heslo nesmí být odvozeno ze žádné informace, která má vztah k uživateli (číslo vozu, telefonní číslo, osobní číslo, značka auta, jméno ulice, jména příbuzných atd.),
- heslo nesmí obsahovat často používaná slova v nezměněné formě, takováto hesla mohou být cílem tzv. slovníkového útoku,
- heslo nesmí být použito v jiném informačním systému,
- heslo nesmí být sdíleno s jiným uživatelem.
Ochrana hesel a zodpovědnost za jejich zneužití
Heslo musí být chráněno jako utajovaná informace stejného stupně utajení, pro jaký je určen informační systém. Tzn. pokud heslo používáte k přihlášení do systému, který zpracovává utajované informace stupně (D), tak i toto heslo je utajovaná informace stupně (D). Tyto hesla nelze ukládat na neutajovaných noteboocích, např. do souboru či do správce hesel (Keepass, apod.).
Uživatel je odpovědný za jakékoli zneužití svého účtu třetí osobou, pokud prokazatelně k zneužití účtu došlo v důsledku jeho nedbalosti, anebo nedodržením ustanovení vnitřních předpisů upravujících bezpečnost utajovaných informací.