En komplett guide till de nya riktlinjerna för lösenord från NIST 2025

Den senaste uppdateringen av NIST:s lösenordsrekommendationer(nytt fönster) är här, och de förändrar hur vi närmar oss lösenord med användbarhet som prioriteras framför komplexitet.

Bör du bry dig? Ja. NIST:s riktlinjer återspeglar inte bara bästa praxis som alla bör följa, utan de påverkar också säkerhetsefterlevnad. Att hamna efter dessa riktlinjer kan innebära bristande efterlevnad av regelverk som HIPAA, GDPR och GLBA – med risk för misslyckade revisioner och kostsamma straffavgifter. Denna guide hjälper dig att förstå de viktigaste ändringarna och hur du bäst implementerar dem i ditt företag.

Vad är NIST:s riktlinjer för lösenord?

NIST:s riktlinjer för lösenord är säkerhetsstandarder publicerade av National Institute of Standards and Technology(nytt fönster), en amerikansk federal myndighet. Dessa riktlinjer utgör grunden för lösenordspolicyer inom olika branscher, och i vissa sektorer, som regeringen, är de obligatoriska.

Riktlinjerna skapas baserat på verklig forskning och är inte bara antaganden om lösenordssäkerhet. Det är därför stora ramverk för efterlevnad ofta formas av NIST:s lösenordsrekommendationer, och varför implementering av dem stärker din säkerhetshållning och regelefterlevnad.

NIST:s lösenordskrav 2025

Här är en snabb genomgång av de uppdaterade lösenordskraven från NIST:

1. Använd längre lösenord

NIST rekommenderar en minsta lösenordslängd på 8 tecken och högst 64 tecken. Längre lösenord är svårare att hacka, eftersom de tenderar att vara mer unika än korta men komplexa lösenord som ofta följer ett förutsägbart mönster.

2. Slopa komplexitetskrav

Genom att bygga vidare på ovanstående riktlinje resulterar krav på specialtecken i komplexa lösenord som tyvärr leder till förutsägbara mönster som hackare lätt kan gissa. Acceptera istället alla typer av tecken, inklusive mellanslag, och uppmuntra anställda att komma på unika och minnesvärda fraser, även kända som lösenfraser, för sina lösenord.

3. Inga fler tvingande lösenordsåterställningar

Den enda gången en tvingande lösenordsåterställning bör verkställas är när det finns bevis på ett avslöjande. Annars anses det vara dålig praxis att tvinga anställda att återställa sina lösenord med några månaders mellanrum, eftersom NIST har funnit att det faktiskt gör lösenordssäkerheten svagare.

4. Upprätthåll en blocklista för lösenord

NIST rekommenderar att företag upprätthåller en blocklista för lösenord för att förhindra användningen av lätt utnyttjade lösenord som ”1234” eller lösenord som innehåller variationer av den anställdes eller företagets namn. Dessutom rekommenderar det att man använder tjänster för lösenordskontroll för att säkerställa att anställda inte använder röjda lösenord som har exponerats i intrång.

5. Eliminera säkerhetsfrågor och ledtrådar

Kunskapsbaserade återställningsledtrådar och frågor, som ”Vad är ditt första husdjur?”, är en föråldrad praxis. Dessa svar är lättillgängliga via sociala medier. Förlita dig istället på säkra återställningsmetoder som återställningslänkar och verifieringskoder under återställningar.

6. Använd moderna säkerhetsverktyg

Att begränsa antalet misslyckade inloggningsförsök, kräva användning av multifaktorautentisering (MFA) och använda verktyg som en lösenordshanterare för företag ger avgörande skydd mot moderna cyberhot och hjälper till att upptäcka intrång.

Hur har NIST:s lösenordskrav förändrats?

Hur man implementerar NIST:s lösenordsrekommendationer

Att implementera de uppdaterade lösenordsrekommendationerna från NIST är avgörande för att upprätthålla efterlevnad av regelverk. Även om du inte är bunden av dessa ramverk kommer dessa riktlinjer att förbättra din säkerhetshållning och skydda ditt företag. Här är hur du implementerar dem.

• Genomför en revision: Granska befintliga policyer mot de nya riktlinjerna från NIST för att identifiera föråldrade krav att uppdatera.
• Uppdatera dina system: Omkonfigurera autentiseringssystem enligt de nya riktlinjerna, såsom att tillåta längre lösenord och inga utgångsintervall.
• Bygg din blocklista: Implementera screening mot intrångsdatabaser för att bygga ut din blocklista. Inkludera dessutom anställd- eller företagsspecifika termer och variationer och vanliga mönster i din blocklista.
• Stärk säkerhetslager: Implementera åtgärder som att begränsa inloggningsförsök och fördröja nya försök, och använd MFA för att ge ytterligare skydd.
• Använd verktyg för lösenordshantering: Utrusta anställda med verktyg som en lösenordshanterare för att automatisera skapande och lagring av lösenord. Dessa verktyg eliminerar återanvändning av lösenord och säkerställer god lösenordspraxis.
• Kommunicera förändringar: Förklara förändringarna för dina anställda och, där det är nödvändigt, genomför utbildning i användningen av verktyg för lösenordshantering.

Använd Proton Pass för att följa NIST:s riktlinjer för lösenord

Proton Pass är en lösenordshanterare för företag som förenklar efterlevnad av NIST:s lösenordsriktlinjer. Byggd med integritet i åtanke och helt skyddad med end-to-end-kryptering kan du enkelt hantera alla dina lösenordsbehov med större sinnesro.

Många av Proton Pass funktioner uppfyller NIST:s lösenordsrekommendationer – du kan generera långa och unika lösenord, automatisera inloggningar och upprätthålla säkerhetspolicyer som 2FA. Proton Pass ger också dina team ett verktyg som gör det till minsta motståndets lag att följa dessa riktlinjer. Det är också helt kompatibelt med GDPR, HIPAA och andra dataskyddsstandarder, vilket förenklar din efterlevnadsprocess.

Vanliga frågor

Var kan jag läsa de fullständiga riktlinjerna för lösenord från NIST?

Du hittar de fullständiga riktlinjerna för lösenord från NIST(nytt fönster) på NIST:s webbplats.

Är NIST:s lösenordskrav obligatoriska för alla företag?

NIST:s lösenordskrav är obligatoriska för federala myndigheter. För andra företag är riktlinjerna inte obligatoriska, men de kan bli nödvändiga genom efterlevnadsramverk som HIPAA och andra. Revisorer och entreprenörer kan också kräva NIST-efterlevnad.

Enligt NIST:s lösenordsrekommendationer, hur långt ska ett lösenord vara?

NIST rekommenderar att lösenord är minst åtta tecken långa, med ett maximum på 64 tecken. Det uppmuntrar lösenord eller lösenfraser av längre längd framför komplexitet, eftersom de tenderar att vara mer unika och svårare att hacka.

Hur skapar jag ett starkt lösenord?

Nyckeln till att skapa ett starkt lösenord är att undvika förutsägbara mönster, identifierbar information och återanvända lösenord. Använd långa och unika lösenord som kombinerar slumpmässiga ord till långa fraser, som ”lava-mjölk-näsa-buller”, eller fraser och meningar som är meningsfulla för dig. En lösenordshanterare kan också automatiskt generera ett starkt lösenord åt dig.

Fortfarande osäker på hur man bäst skapar ett långt, starkt lösenord och vill inte registrera dig för en lösenordshanterare? Använd vårt verktyg lösenordsgenerator istället.

Hur passar lösenordshanterare in i NIST:s riktlinjer för lösenord?

En lösenordshanterare som Proton Pass hjälper företag att följa NIST:s riktlinjer för lösenord genom att generera långa, unika lösenord och eliminera återanvända lösenord. Faktum är att NIST:s riktlinjer pekar ut lösenordshanterare som ett effektivt verktyg för att skapa starka lösenord och rekommenderar deras användning.

Proton Pass tar denna efterlevnad längre. Förutom att generera långa, unika lösenord för dina anställda, automatiserar det också inloggningar och upprätthåller säkerhetspolicyer som 2FA och är end-to-end-krypterat, vilket innebär att ingen kan få obehörig åtkomst till dina lösenord.