¿cómo describo nuestra política de contraseñas en el cuestionario de seguridad del cliente

La política de contraseñas es parte del control de acceso, no de la criptografía

La pregunta sobre política de contraseñas generalmente no aparece como una pregunta independiente, sino como parte de un bloque más amplio sobre control de acceso. Por lo tanto, no describa solo las reglas de contraseña en sí — longitud mínima, complejidad, período de vencimiento — sino colóquelas en el contexto de quién tiene acceso a qué sistema y cómo se gestiona. Un cliente que pregunta por política de contraseñas en realidad pregunta por gestión de identidad y acceso. Si la política de acceso está establecida incluyendo la gestión de activos empresariales, la política de contraseñas es una regla de ella, no un documento independiente.

Para un proveedor que en sí mismo está sujeto a una norma de seguridad, el cliente espera algo más que solo "las contraseñas deben tener un mínimo de 8 caracteres". Describa si la política de contraseñas se aplica técnicamente (a través del dominio o del proveedor de identidad) o solo está sobre papel, y si un gestor de contraseñas es obligatorio o recomendado. Mencione también si existen cuentas compartidas y cómo se manejan — esa es a menudo la pregunta de seguimiento. Si falta una política de contraseñas formal, es más honesto informar de ello que marcar un sí que el expediente no puede respaldar; muchos clientes aceptan una medida compensatoria, como autenticación multifactor obligatoria para acceder a los sistemas empresariales, como alternativa a una política de contraseñas estricta.

Dónde está esto en las diez medidas

La política de contraseñas se incluye en las medidas de control de acceso del artículo 21, apartado 2 de la Directiva NIS2, donde se menciona junto con la seguridad del personal y la gestión de activos empresariales como una de las diez medidas a adoptar. En ISO/IEC 27001 esto se desarrolla en las medidas de control del Anexo A, bajo la categoría de seguridad de acceso — allí la política de contraseñas se vincula explícitamente a la política de autenticación más amplia, no a configuraciones técnicas aisladas. Para proveedores que quedarán sujetos a la Ley de Ciberseguridad una vez que entre en vigor, se espera que se aplique la misma clasificación, porque esa ley sigue la clasificación de la Directiva.