comment dois-je décrire notre politique de mot de passe dans le questionnaire de sécurité du client

La politique de mot de passe fait partie de la gestion des accès, non de la cryptographie

La question relative à la politique de mot de passe ne figure généralement pas comme une question isolée, mais comme un élément d'un ensemble plus large concernant la gestion des accès. Décrivez donc non seulement les règles de mot de passe elles-mêmes — longueur minimale, complexité, durée d'expiration — mais placez-les dans le contexte de qui a accès à quel système et comment cet accès est géré. Un client qui demande une politique de mot de passe demande en réalité une gestion de l'identité et des accès. Dès lors que la politique d'accès est établie, y compris la gestion des biens de l'entreprise, la politique de mot de passe en est une règle, et non un document autonome.

Chez un fournisseur qui est lui-même soumis à une norme de sécurité, le client s'attend à davantage que « les mots de passe doivent comporter au minimum 8 caractères ». Décrivez si la politique de mot de passe est techniquement appliquée (via le domaine ou le fournisseur d'identité) ou seulement sur le papier, et si un gestionnaire de mots de passe est obligatoire ou recommandé. Mentionnez également si des comptes partagés existent et comment ils sont traités — c'est souvent la question qui suit. Si une politique formelle de mot de passe fait défaut, il est plus honnête de le signaler que de cocher un oui que le dossier ne peut pas étayer ; de nombreux clients acceptent une mesure compensatoire, comme l' authentification multifacteur pour l'accès aux systèmes de l'entreprise, comme alternative à une politique de mot de passe stricte.

Où cela figure dans les dix mesures

La politique de mot de passe relève des mesures de contrôle d'accès énoncées à l'article 21, paragraphe 2, de la directive NIS2, où elle est mentionnée, conjointement avec la sécurité du personnel et la gestion des biens de l'entreprise, comme l'une des dix mesures à prendre. En ISO/IEC 27001, cela est détaillé dans les mesures de sécurité de l'annexe A, dans la catégorie de la sécurité des accès — la politique de mot de passe y est explicitement liée à la politique d'authentification plus large, et non à des paramètres techniques isolés. Pour les fournisseurs qui seront soumis à la loi sur la cybersécurité dès son entrée en vigueur, la même classification devrait s'appliquer, car cette loi suit la classification de la directive.