la liste de questions demande notre politique de mots de passe, comment dois-je répondre

La politique de mot de passe relève de la sécurité d'accès, non de l'authentification séparément

La politique de mot de passe, vous y répondez généralement en même temps que la politique d'accès plus large : qui peut accéder à quel système, comment cet accès est-il accordé et retiré, et quelles exigences s'appliquent aux mots de passe eux-mêmes. Concrètement, il s'agit de la longueur minimale, de la complexité, de la modification obligatoire en cas de suspicion d'abus, et de l'interdiction de réutiliser d'anciens mots de passe. De nombreux portails posent cette question de manière isolée, mais dans le dossier de chaîne, cela fait partie de la politique d'accès, y compris la gestion des actifs informatiques — c'est là que vous établissez la politique en place et qui en assure la surveillance.

Si vous n'avez pas de politique de mot de passe documentée séparément mais que vous disposez d'accords pratiques — par exemple via un gestionnaire de mots de passe ou des paramètres appliqués dans Active Directory — cela suffit souvent comme justification, à condition de pouvoir le démontrer. En l'absence de toute documentation, la réponse honnête est « non » ; remplir une supposition comme preuve n'aide pas lors d'un audit. Prêtez attention à la combinaison avec authentification multifacteur pour l'accès aux systèmes de l'entreprise : de plus en plus de clients demandent cela comme complément à ou remplacement d'une politique de mot de passe stricte, car l'AMF réduit considérablement le risque d'un mot de passe faible.

À rapporter à l'article 21 alinéa 2 et à l'Annexe A

La politique de mot de passe n'est pas une obligation autonome mais une mise en œuvre des mesures de contrôle d'accès. L'article 21, paragraphe 2, de la directive NIS2 (Directive (UE) 2022/2555) énumère le contrôle d'accès et la gestion des actifs comme l'une des dix mesures obligatoires ; la politique de mot de passe en est l'application la plus concrète. L'annexe A de la norme ISO/IEC 27001 reprend cette notion sous les mesures de contrôle relatives à la gestion de l'accès et des informations d'authentification. Une organisation certifiée selon cette norme a presque toujours une politique de mot de passe documentée comme faisant partie de la politique d'accès plus large.