ils veulent savoir à quoi ressemble notre politique de mot de passe

La politique de mot de passe fait partie de la politique d'accès, non de l'authentification multifacteur

Les questionnaires présentent généralement la « politique de mot de passe » comme une ligne isolée, mais la réponse est liée au contenu la politique d'accès, y compris la gestion des actifs informatiquesDécrivez au minimum : la longueur minimale, les exigences de complexité, le changement obligatoire en cas de suspicion d'abus (non périodique standard — cela est désormais considéré comme obsolète), et ce qui se passe après un certain nombre de tentatives de connexion échouées. Mentionnez également si les mots de passe sont gérés de manière centralisée via un gestionnaire de mots de passe ou un fournisseur d'identité, ou si les utilisateurs gèrent cela eux-mêmes.

Une erreur courante : décrire la politique de mot de passe séparément de l'authentification multifacteur pour l'accès aux systèmes d'entreprise, alors que le client veut souvent savoir si un mot de passe faible est compensé par un deuxième facteur. Placez donc ces deux réponses côte à côte dans le dossier de chaîne, même si cela coûte à celui qui pose les questions deux questions séparées — cela évite une explication que vous devriez sinon taper encore et encore. Si vous n'avez pas de politique de mot de passe établie mais qu'un gestionnaire de mots de passe est obligatoire pour tout le monde, décrivez-le factuellement ; un « non » avec une brève explication est une réponse plus complète qu'un « oui » qui surestime la pratique.

D'où cela provient : article 21, paragraphe 2 et Annexe A

La politique de mot de passe ne figure pas comme point séparé à l'article 21, paragraphe 2, de la directive NIS2 ; elle relève de la mesure plus large de contrôle d'accès parmi ces dix mesures. Dans l'Annexe A d'ISO/IEC 27001, elle se retrouve de manière plus explicite comme mesure de contrôle dans le thème de la sécurité d'accès. Les questionnaires qui demandent la « politique de mot de passe » tirent généralement ce terme de l'Annexe A, même s'ils font référence aux obligations NIS2 — c'est pourquoi la réponse se retrouve en pratique au même endroit dans le dossier.