le client demande notre politique de mots de passe qu'est-ce qui doit y figurer

La politique de mot de passe relève de la maîtrise d'accès, non de la cryptographie

Une politique de mot de passe décrit comment les mots de passe sont créés, gérés et remplacés : longueur minimale et complexité, modification obligatoire en cas de suspicion d'abus, interdiction de réutiliser les anciens mots de passe, et la manière dont les mots de passe sont stockés (hachés, non en texte brut). Les clients demandent cela habituellement dans le cadre de la politique d'accès, y compris la gestion des actifs, et non comme une question distincte de cryptographie. Cette distinction est pertinente pour déterminer la réponse à remplir : le chiffrement des données porte sur quelque chose d'autre que la façon dont un utilisateur se connecte.

Ce qui manque souvent n'est pas la politique elle-même, mais la preuve qu'elle est appliquée : un paramètre technique dans le système d'identité (Azure AD, Okta ou équivalent) qui impose les exigences minimales, plutôt qu'un document que les collaborateurs sont censés lire. Si vous n'avez pas cette preuve, ne cochez pas « oui » à la question de savoir si la politique est appliquée — cochez-la uniquement à la question de savoir si une politique existe, si ce document est réellement présent. De plus en plus souvent, une politique de mot de passe isolée est considérée comme moins pertinente que la question de savoir si l'authentification multifacteur est obligatoire : un mot de passe fort avec MFA pèse en pratique davantage qu'un mot de passe long sans MFA.

Où cela figure dans la norme et la directive

ISO/IEC 27001 traite la gestion des mots de passe dans les mesures de contrôle de l'accès en Annexe A (l'information d'authentification y est une contrôle distincte) ; la Directive (UE) 2022/2555 mentionne la maîtrise d'accès et l'authentification comme l'une des dix mesures de l'article 21, paragraphe 2, sans prescrire de règles de mot de passe spécifiques — la directive laisse la mise en œuvre technique à l'organisation. Un questionnaire qui demande une « politique de mot de passe » traduit généralement l'une de ces deux sources en une question concrète et testable.