ID 10549. Temas 31-32-33. Políticas de segudidad-contraseñas

[marioyo100]

Buenas,
me he encontrado la siguiente pregunta:

Las contraseñas: [N/C] Ocultar respuesta
Tema: 31, 32, 33. Id Pregunta: 10549.
a) Deben ser asignadas por el administrador de seguridad
b) Deben cambiarse cada 30 días a discreción del usuario
c) Deben reutilizarse muchas veces para garantizar que el usuario no olvida su contraseña
d) Deben visualizarse en la pantalla para que el usuario puede asegurarse de que se ha introducido correctamente

Todas las respuestas me parecen todas malas, pero descarto directamente la c) y la d).
Lo que no entiendo es por qué debe asignar la contraseña un administrador de seguridad (en todo caso, sería establecer unas políticas de actualización de contraseñas). Quiero decir que me parece menos mala la respuesta b), mientras que sugieren que la correcta es la a)

¿Alguien que pueda echar un poco de luz en el asunto?

Muchas Gracias,
Mario

[Milarqui]

Supongo que la parte de "asignadas por el administrador de seguridad" hace referencia a que el administrador probablemente pueda aportar una contraseña más difícil de hackear por un tercero, mientras que una contraseña creada por el usuario, quieras que no, seguramente será algo que pueda ser encontrado por dicho tercero con un poco de psicología sobre el individuo.

[Itinerante]

Además de lo aportado por Milarqui (pues creo que la pregunta va en esa dirección), aunque sea bueno cambiar las contraseñas... no le veo suficiente entidad a la afirmación de que tengan que ser cada 30 días. ¿Por qué no cada 20? ¿O cada 45?

Me parece muy "arbitrario" fijar una duración de 30 días como "verdad universal".

Aunque cierto que esa pregunta deja un poco que desear

[Miguelinho]

Supongo que la opción [a] se refiere a la asignación inicial para que luego el usuario la cambie. Por su parte, la alternativa la considero contradictoria en sí misma. Por un lado, habla de "cada 30 días", es decir, establece un plazo determinado y perfectamente fijado. Por otro lado, añade "a discreción del usuario", que dejaría este plazo en manos del usuario. Quizá mi interpretación no coincide con la intención de la respuesta, pero me parece contradictoria.

[marioyo100]

Muchas gracias.
Sobre todo quería escuchar cómo lo interpretaba más gente.

Un saludo,
Mario T

[faithless29a]

La práctica en mi centro de trabajo es que el administrador debe establecer la contraseña inicial de los usuarios nuevos -o de los existentes que hayan olvidado su clave-. Posteriormente el usuario debe cambiarla tras su primer login. Además, los usuarios deben cambiar su clave cada 30 días -o antes, si así lo deciden-. Así que creo que la opción b) es la más correcta.

Saludos.