klijent pita o našoj politici lozinki što trebam odgovoriti

Politika lozinki dio je upravljanja pristupom, ne kriptografije

Politika lozinki pada pod upravljanje pristupom, ne pod kriptografiju ili autentifikaciju zasebno. Ako popis pita o "password policy" ili "wachtwoordbeleid", obično se provjerava postoje li minimalni zahtjevi: minimalna duljina, složenost, obvezna promjena u slučaju sumnje na kompromitaciju, te zabrana ponovne upotrebe starih lozinki. Dovoljno je dokument politike koji sadrži te točke, plus tehnička postavka koja ih provodi — ne samo uputa koju zaposlenici trebaju slijediti. Ako nedostaje dokument ali je postavka ispravna u Active Directoryju ili kod pružatelja identiteta, često je to dovoljno kao dokaz; snimka ekrana politike iz upravljanja sustavom tada je dovoljna.

Ako nemaš zasebnu politiku lozinki ali si postavio dvostruku autentifikaciju kao obaveznu za sve poslovne sustave, taj je odgovor često jači od same politike lozinki — mnogi popisi to pitaju kao zasebnu točku, vidi ili je dvostruka autentifikacija obavezna za pristup poslovnim sustavima". Unesi to kao dopunu, ne kao zamjenu: kupac koji konkretno pita o politici lozinki želi vidjeti taj odgovor posebno. Ako nemaš ništa dokumentirano, tada je "ne" s objašnjenjem da je MFA obavezna često iskrenije i potpunije od nejasnog "da" na pitanje koje ne možeš potkrijepiti dokumentom.

Gdje se to nalazi u normi i smjernicama

ISO/IEC 27001 Prilog A sadrži specifičnu mjeru kontrole za autentifikacijsku informaciju, uključujući upravljanje lozinkama; tko je za to certificiran, može se na to pozivati kao na dokaz, vidi je li poduzeće certificirano prema ISO 27001". NIS2 sam po sebi ne spominje politiku lozinki kao zasebnu točku među deset mjera članka 21 stavka 2 — ona pada pod širu kategoriju kontrole pristupa i zaštite sustava. Popisi koji se pozivaju na NIS2 često tu širu točku sami prevode u konkretno pitanje o lozinkama; temeljni zahtjev tada je politika pristupa kao cjelina, ne lozinke konkretno.