quieren saber cómo es nuestra política de contraseñas

La política de contraseñas es parte de la política de acceso, no de MFA

Los cuestionarios suelen presentar "política de contraseñas" como un apartado independiente, pero la respuesta corresponde conceptualmente a la política de acceso, incluida la gestión de activos empresarialesDescriba como mínimo: longitud mínima, requisitos de complejidad, cambio obligatorio en caso de sospecha de abuso (no periódico estándar — actualmente se considera obsoleto), y qué sucede después de un número determinado de intentos de inicio de sesión fallidos. Indique también si las contraseñas se administran centralmente a través de un gestor de contraseñas o un proveedor de identidad, o si los usuarios los gestionan por sí mismos.

Un error muy común: describir la política de contraseñas por separado de autenticación multifactor para el acceso a sistemas empresariales, cuando el cliente a menudo quiere saber si una contraseña débil se compensa con un segundo factor. Por lo tanto, coloque estas dos respuestas una al lado de la otra en el expediente de la cadena, incluso si el solicitante hace dos preguntas separadas — evita una explicación que de otro modo tendría que escribir repetidamente. Si no tiene una política de contraseñas establecida pero sí tiene un gestor de contraseñas obligatorio para todos, describa eso de manera fáctica; un "no" con una breve explicación es una respuesta más completa que un "sí" que sobrestima la práctica.

Procedencia: artículo 21, apartado 2 y Anexo A

La política de contraseñas no aparece como un punto separado en el artículo 21, apartado 2 de la Directiva NIS2; se incluye en la medida más amplia de control de acceso dentro de esas diez medidas. En ISO/IEC 27001 Anexo A se encuentra de manera más explícita como medida de control dentro del tema de seguridad del acceso. Los solicitantes que preguntan sobre "política de contraseñas" suelen tomar ese término del Anexo A, incluso cuando se refieren a obligaciones de la NIS2 — por eso la respuesta en la práctica termina en el mismo lugar en el expediente.