el cliente pregunta sobre nuestra política de contraseñas qué debe incluir

La política de contraseñas se incluye en la protección del acceso, no en criptografía

Una política de contraseñas describe cómo se crean, gestionan y reemplazan las contraseñas: longitud mínima y complejidad, cambio obligatorio en caso de sospecha de abuso, prohibición de reutilizar contraseñas antiguas, y la forma en que se almacenan las contraseñas (hasheadas, no en texto plano). Los clientes suelen preguntar esto como parte de la política de acceso, incluida la gestión de activos empresariales, no como una cuestión criptográfica separada. Esta distinción es relevante para determinar qué respuesta completas: el cifrado de datos trata sobre algo diferente a cómo inicia sesión un usuario.

Lo que a menudo falta no es la política en sí, sino la prueba de que se aplica: una configuración técnica en el sistema de identidad (Azure AD, Okta o similar) que impone requisitos mínimos, en lugar de un documento que se espera que lean los empleados. Si no tienes esa prueba, no marques "sí" en la pregunta de si la política se aplica — solo en la pregunta de si existe una política, si ese documento realmente existe. Cada vez con más frecuencia, una política de contraseñas independiente se considera menos relevante que la pregunta de si autenticación multifactor es obligatorio: una contraseña fuerte con MFA tiene más peso en la práctica que una contraseña larga sin MFA.

Dónde consta en la norma y la directriz

ISO/IEC 27001 trata la gestión de contraseñas bajo las medidas de control de acceso en el Anexo A (la información de autenticación es un control separado); la Directiva (UE) 2022/2555 menciona el control de acceso y la autenticación como una de las diez medidas del artículo 21, apartado 2, sin prescribir reglas específicas de contraseñas — la directiva deja la implementación técnica en manos de la organización. Una lista de preguntas que pregunta por "política de contraseñas" suele traducir una de esas dos fuentes en una pregunta concreta y verificable.