il questionario chiede informazioni sulla nostra politica delle password come rispondo

La politica delle password rientra nel controllo degli accessi, non nell'autenticazione separatamente

La politica delle password di solito la rispondi insieme alla politica di accesso più ampia: chi può accedere a quale sistema, come viene assegnato e revocato, e quali requisiti si applicano alle password stesse. Nello specifico, si tratta di lunghezza minima, complessità, cambio obbligatorio in caso di sospetto di abuso, e il divieto di riutilizzo di password precedenti. Molti portali lo chiedono come domanda separata, ma nel dossier della catena appartiene a la politica di accesso, inclusa la gestione dei beni aziendali — qui documenti quale politica è in vigore e chi la controlla.

Se non hai una politica delle password documentata e separata ma hai accordi pratici — ad esempio tramite un password manager o impostazioni applicate in Active Directory — spesso è sufficiente come giustificazione, purché tu possa dimostrarlo. Se manca completamente una documentazione, allora "no" è la risposta onesta; compilare un sospetto come prova non aiuta in una verifica. Presta attenzione alla combinazione con autenticazione a più fattori obbligatoria per l'accesso ai sistemi aziendali: sempre più clienti lo chiedono come integrazione a o sostituzione di una rigorosa politica delle password, perché l'MFA riduce in gran parte il rischio di una password debole.

Tracciabile all'articolo 21 paragrafo 2 e Allegato A

La politica delle password non è un obbligo autonomo ma un'attuazione delle misure relative al controllo degli accessi. Nell'articolo 21, paragrafo 2 della direttiva NIS2 (Direttiva (UE) 2022/2555) il controllo degli accessi e la gestione delle risorse sono indicati come una delle dieci misure obbligatorie; la politica delle password è la sua realizzazione più concreta. Nell'Allegato A dello standard ISO/IEC 27001 ciò si ritrova nelle misure di controllo per la gestione degli accessi e delle informazioni di autenticazione. Un'organizzazione certificata secondo tale norma ha quasi sempre già documentato una politica delle password come parte della più ampia politica di accesso.