клиентът пита за нашата политика за пароли какво трябва да съдържа

Политиката на паролите попада под контрола на достъпа, а не под криптография

Политиката на паролите описва как се създават, управляват и заменят паролите: минимална дължина и сложност, задължителна промяна при подозрение за злоупотреба, забрана на повторното използване на стари пароли и начина, по който паролите се съхраняват (хеширани, а не в открит текст). Клиентите обикновено задават този въпрос като част от политиката на достъпа, включително управление на активи на предприятието, а не като отделен въпрос за криптография. Това разграничение е значително за определяне на правилния отговор: криптирането на данни се отнася до нещо различно от начина, по който потребителят влиза в системата.

Това, което често липсва, е не самата политика, а доказателството, че тя се прилага: техническа настройка в системата за идентичност (Azure AD, Okta или подобни), която налага минимални изисквания, вместо документ, който се очаква да прочетат служителите. Ако нямаш такова доказателство, не попълвай "да" на въпроса дали политиката се прилага — попълни със "да" само на въпроса дали съществува политика, ако документът наистина съществува. Все по-често самостоятелна политика на паролите се счита за по-малко релевантна от въпроса дали многофакторната аутентификация е задължително: сильна парола с MFA има по-голямо тегло на практика от дълга парола без MFA.

Където това е в норма и ръководството

ISO/IEC 27001 разглежда управлението на паролите под контролите на достъпа в Приложение A (информацията за удостоверяване е отделен контрол там); Директива (ЕС) 2022/2555 се позовава на контрола на достъпа и удостоверяването като един от десетте мерки на член 21, параграф 2, без да предвижда конкретни правила за парола — директивата оставя техническото прилагане на организацията. Въпросник, който пита за "политика на паролите", обикновено превежда един от тези два източника в конкретен, измерим въпрос.