Förslag till lösenordspolicy
Lösenordspolicy
1.0 Anledning
Då korrekt och enhetlig lösenordshantering är av betydande vikt för att upprätthålla god IT och informationssäkerhet inom 'Företaget AB' har ledningen beslutat att denna lösenordspolicy skall implementeras, godkännas och signeras av all personal (oavsett anställningsform) som utför arbetsuppdrag år 'Företaget AB'.
Då svaga lösenord kan äventyra säkerheten kring hela 'Företaget AB:s' IT miljö åligger det all personal som har tagit del av, förstått och signerat denna policy att följa de riktlinjer som beskrivs nedan.
2.0 Mål
Målet med denna lösenordspolicy är att inom 'Företaget AB' etablera en standard för hur varje enskild individ skapar ett starkt lösenord, skyddar sitt lösenord samt hur ofta respektive lösenord skall förnyas.
3.0 Omfattning
Denna lösenordspolicy omfattar all personal (oavsett anställningsform) som har ansvar för ett personligt konto (eller annan typ av åtkomstform där ett lösenord krävs). Denna policy omfattar alla system samt alla arbetsplatser som ligger under 'Företaget AB:s' direktion. Denna policy omfattar även publika system (så som exempelvis forum) där information gällande 'Företaget AB' i någon form hanteras.
4.0 Policy
4.1 Generellt
- |
Alla lösenord på administratörsnivå skall bytas en gång per månad. |
- |
Alla lösenord på marknads/produktionsnivå (ex. ekonomisystem, affärssystem, gemensamma kalkyl och offertsystem, kunddatabaser mm) skall bytas en gång per månad. |
- |
Alla lösenord på användarnivå (ex. e-post (webbmail samt lokal klient), Intranet, arbetsstationer, PC mm) skall bytas en gång per månad. |
- |
Upprepning av lösenord (dvs. samma lösenord) till olika system får inte ske. Alla lösenord skall vara unika för respektive system. |
| - |
Upprepning av lösenord som används till system eller användarkonton inom 'Företaget AB' får inte användas till system eller användarkonton som brukas i privat syfte. |
| - |
Lösenord får ej distribueras eller återges i e-post eller annan typ av elektroniskt kommunikationshjälpmedel (ex. chatprogram eller dylikt) |
| - |
Samtliga lösenord som åligger användaren att ansvara för är personliga och skall hanteras som en värdehandling. Detta innebär att all form av spridning (muntligt, elektroniskt eller på annat sätt) är förbjudet. |
| - |
Alla lösenord på användar- och systemnivå måste leva upp till de nedan beskrivna kriterierna. |
4.2 Riktlinjer
A. Riktlinjer för lösenordsuppbyggnad
Lösenorden inom 'Företaget AB' används med syfte att skydda olika typer av system/applikationer samt personliga konton. Dessa kan till exempel vara användarkonto till PC, laptop eller arbetsstation, webbapplikationer, e-postkonton, systemapplikationer mm. Eftersom dessa tjänster och system i regel hanterar information som för 'Företaget AB' är kritisk skall alltid ett starkt lösenord skapas.
Ett svagt lösenord har följande karaktär:
- |
Lösenordet består av färre än 14 tecken. |
- |
Lösenordet är ett ord som återfinns i nära koppling till användaren i fråga (ex. namn på barn, husdjur, man, maka mm) |
- |
Del av lösenordet ligger i en följd (ex. 123456, asdfgh, qwerty, zxcvbn, 456789 mm) |
- |
Del av lösenordet består av upprepning (ex. AAA, 333, ### mm) |
| - |
Del eller hela företagsnamnet används i lösenordet. |
| - |
Lösenordet består av ett eller flera ord som kan återfinnas i olika typer av lexikon/ordböcker. |
| - |
Lösenordet innehåller personlig information så som telefonnummer, födelsedata mm |
| - |
Svag uppbyggnad så som beskriven ovan fast i omvänd form (dvs. baklänges). |
Ett starkt lösenord har följande karaktär:
- |
Lösenordet innehåller både stora och små bokstäver. |
- |
Lösenordet innehåller både tecken, bokstäver och siffror. |
- |
Lösenordet är minst 14 tecken långt. |
- |
Lösenordet innehåller ingen personlig eller företagsrelaterad information. |
| - |
Lösenordet (eller del av det) kan inte återfinnas i ordböcker och lexikon. Lösenordet (eller del av det) består inte heller av talspråk (slang) mm. |
| - |
I lösenordet återfinns inga upprepningar eller lättigenkännliga mönster (ex. tecken i följd på tangentbordet). |
B. Skydd av lösenord
Det är inom 'Företaget AB' förbjudet att använda samma lösenord till olika system och användarkonton. Det är också förbjudet att använda lösenord som används inom 'Företaget AB' till andra ej företagsknutna system eller tjänster (så som communitys, forum, blogar mm som används i privat syfte).
Det är förbjudet att dela lösenord som kan återknytas till system eller användarkonton tillhörande 'Företaget AB' med annan part (detta inkluderar även chefer och administratörer).
Det är förbjudet att:
- |
Att avslöja ett lösenord över fast telefon. |
| - |
Att avslöja ett lösenord över mobiltelefon (inkluderat SMS) |
- |
Att avslöja ett lösenord i e-postkommunikation. |
- |
Att avslöja ett lösenord i chatkommunikation. |
- |
Att avslöja ett lösenord på forum. |
| - |
Att avslöja ett lösenord till en kollega (inkluderat chef och administratör). |
| - |
Att avslöja ett lösenord till familjemedlemmar eller vänner. |
| - |
Att avslöja ett lösenord inför andra (i gruppkonversationer mm). |
| - |
Att avslöja delar av lösenordet i någon kommunikationsform eller till någon part. |
| - |
Att avslöja ett lösenord under icke normalt rådande omständigheter (så som sjukdom, semester mm). |
Om någon (inom eller utanför 'Företaget AB') kräver tillgång till ett lösenord skall vederbörande hänvisas till denna lösenordspolicy eller till inom 'Företaget AB' ansvarig chef.
Använd inte "Kom ihåg mig funktioner" i webbapplikationer eller andra typer av applikationer med denna typ av funktion.
Använd ej företagsknutna och lösenordsskyddade system på publika* datorer när avsikten är att hantera (direkt eller indirekt) information som (direkt eller indirekt) kan härledas till 'Företaget AB' då säkerheten ej kan garanteras.
* Hotelldatorer, Internetcaféer mm.
Lösenord knutna till system och användarkonton skall bytas enligt punkt 4.1.
C. Lagring
Det är förbjudet att lagra lösenord som är knutna till system och användarkonton inom 'Företaget AB' online (t.ex. på en textfil eller i ett Exceldokument) eller i pappersformat (t.ex. PostIT lappar mm).
4.3 Efterlevnad och kontroll
'Företaget AB' har utsett 'Förnamn Efternamn' att ansvara för denna lösenordspolicy. Det är från 'Företaget AB:s' sida ålagt 'Förnamn Efternamn' att se till att denna policy efterlevs enligt ovan angivna kriterier. Det är därmed ålagt 'Förnamn Efternamn' att kontrollera att så är fallet.
Påföljder
Vid överträdelse av denna policy kan användaren riskera att blir helt eller delvis avstängd från företagets IT-resurser.
Disciplinära påföljder
Användare kan vid överträdelse av denna policy riskera att anmälas till företagsledningen. De disciplinära påföljderna är:
- muntlig varning
- skriftlig varning
- avstängning
- avsked
Signering av anställd
Datum:____________________________________________
Signatur:___________________________________________
Namnförtydligande:___________________________________
Konto:____________________________________________
Policyägare (Företaget AB:s representant)
Signatur:__________________________________________
Namnförtydligande:__________________________________ |
