הנחיות הסיסמאות השתנו בשנים האחרונות. ההנחיה של NIST מנוסחת כדרישות מהשירותים שמפעילים מסך כניסה, לא כעצה למשתמש. ה-NCSC הבריטי מפרסם עצות ישירות לציבור. הכתבה מציגה את שתיהן בנפרד, כדי שלא יתערבבו.
מה NIST דורש משירותים
בהנחיה SP 800-63B (העמוד נושא חותמת מ-26 באוגוסט 2025), הנוגעת לסיסמאות:
- אורך מינימלי: 15 תווים לסיסמה שמשמשת כגורם יחיד, ו-8 תווים כשהיא משמשת רק כחלק מאימות רב-שלבי.
- אורך מרבי: על השירות לאפשר סיסמאות של לפחות 64 תווים.
- כללי הרכב: אסור לשירות לכפות כללים נוספים, כמו חובה לשלב תווים מיוחדים.
- החלפה תקופתית: אסור לדרוש מהמשתמשים להחליף סיסמה מדי תקופה. החלפה נדרשת כשיש ראיות שהסיסמה נחשפה.
- רשימת חסימה: סיסמה חדשה חייבת להיבדק מול רשימה של סיסמאות נפוצות או כאלה שנחשפו בדליפות.
- מנהלי סיסמאות: השירות חייב לאפשר אותם ואת ההשלמה האוטומטית, ומומלץ לאפשר הדבקה בשדה הסיסמה.
לפי NIST, אסור לשירות לדרוש החלפה תקופתית של סיסמאות או כללי הרכב נוספים, והמינימום לסיסמה כגורם יחיד הוא 15 תווים.
מה NCSC ממליץ למשתמשים
שלוש מילים אקראיות. בדף שנבדק בדצמבר 2021 מוסבר שצירוף של שלוש מילים אקראיות נותן סיסמה ארוכה וחזקה מספיק, וקל יותר לזכור אותה מרצף מורכב של תווים. הדוגמה בדף היא applenemobiro. הדף מזהיר מפני סיסמאות נפוצות, תאריכים משמעותיים, קבוצת ספורט אהובה, שמות של בני משפחה ושל חיות מחמד, והחלפת אותיות בתווים דומים, כמו אפס במקום o.
מנהל סיסמאות. בדף שעודכן במאי 2026 נכתב שמנהל סיסמאות שומר סיסמאות, מייצר סיסמאות ייחודיות, מזהיר כשסיסמה נחשפה, וממלא אוטומטית רק באתר הנכון, מה שלדברי הדף עוזר מול הודעות הונאה. שימוש באותה סיסמה בכמה שירותים הוא דבר שלא כדאי לעשות לעולם. ה-NCSC ממליץ להפעיל אימות דו-שלבי על חשבון מנהל הסיסמאות, ומציין שמנהלים רבים מציעים אפשרויות שחזור.
אימות דו-שלבי
לפי הדף של ה-NCSC (נבדק בינואר 2022):
- השלב השני הוא משהו שרק אתם יכולים לגשת אליו, כמו קוד שנשלח בהודעה או נוצר באפליקציה.
- כדאי להפעיל אותו בחשבונות חשובים, ובראשם הדוא״ל, כי מי שנכנס לתיבת הדוא״ל יכול לאפס סיסמאות בחשבונות אחרים.
- קוד בהודעת SMS אינו האפשרות הבטוחה ביותר, אבל הדף אומר שהוא עדיף בהרבה מלא להפעיל אימות כלל. אפליקציות אימות, כמו Google Authenticator ו-Microsoft Authenticator, אינן דורשות קליטה או המתנה להודעה.
- קודי גיבוי עובדים פעם אחת וצריך לשמור אותם במקום בטוח. הדף ממליץ על תוכנית גיבוי למקרה שהאמצעי הרגיל לא זמין, למשל טלפון עם סוללה ריקה.
- שאלות אבטחה וזיכרון אישי אינם נותנים אותה הגנה.
הודעות הונאה
הדף של ה-NCSC על זיהוי הונאות (פורסם ב-2021, נבדק ב-2022) מפרט חמישה סימנים:
- סמכות: ההודעה טוענת שהיא מגוף רשמי, כמו בנק או רשות.
- דחיפות: מועד קצר או איום בקנס.
- רגש: ניסיון לעורר פחד, תקווה או סקרנות.
- מחסור: הצעה למשהו שיש ממנו מעט.
- אירועים אקטואליים: ניצול של חדשות, אירוע גדול או עונה בשנה.
הדף מוסיף שפושעים משתמשים בקודי QR בהודעות דוא״ל. אם יש ספק, מומלץ ליצור קשר עם הארגון לפי פרטים מהאתר הרשמי שלו, ולא לפי הפרטים בהודעה. לפי הדף, גופים רשמיים לא יבקשו מידע אישי בדוא״ל.
מה לא נבדק
- ההנחיות של מערך הסייבר הלאומי בישראל לא נפתחו, ולכן הכתבה לא מכסה אותן ולא את דרכי הדיווח בישראל.
- חלק מדפי ה-NCSC נבדקו לאחרונה ב-2021 וב-2022. רק הדף על מנהלי סיסמאות עודכן ב-2026.
- הדף על הונאות מפנה לדף נפרד לשאלה מה עושים אחרי שלחצתם על קישור או מסרתם פרטים. הדף הזה לא נפתח.
שורה תחתונה
ההנחיות שנבדקו מצביעות על שלושה דברים: סיסמה ארוכה וייחודית לכל שירות, בעזרת שלוש מילים אקראיות או מנהל סיסמאות. שלב שני בחשבונות החשובים, ובראשם הדוא״ל. וזיהוי של סימני ההונאה הנפוצים. מהצד של השירותים, NIST אוסר לכפות החלפות תקופתיות של סיסמאות.
מקורות
- NIST, Special Publication 800-63B, Digital Identity Guidelines (חותמת מ-26 באוגוסט 2025)
- NCSC, Use three random words to create a strong password (נבדק בדצמבר 2021)
- NCSC, Password managers (עודכן במאי 2026)
- NCSC, Setting up 2-Step Verification (2SV) (נבדק בינואר 2022)
- NCSC, Phishing scams: how to spot and report them (נבדק בספטמבר 2022)
