klant vraagt naar ons wachtwoordbeleid wat moet daar in staan

Wachtwoordbeleid valt onder toegangsbeveiliging, niet cryptografie

Een wachtwoordbeleid beschrijft hoe wachtwoorden worden aangemaakt, beheerd en vervangen: minimale lengte en complexiteit, verplichte wijziging bij verdenking van misbruik, verbod op hergebruik van oude wachtwoorden, en de manier waarop wachtwoorden worden opgeslagen (gehashed, niet in platte tekst). Klanten vragen dit meestal als onderdeel van het toegangsbeleid, inclusief beheer van bedrijfsmiddelen, niet als apart cryptografie-vraagstuk. Dat onderscheid is relevant voor welk antwoord je invult: versleuteling van data gaat over iets anders dan hoe een gebruiker inlogt.

Wat vaak ontbreekt is niet het beleid zelf, maar het bewijs dat het wordt afgedwongen: een technische instelling in het identity-systeem (Azure AD, Okta, of vergelijkbaar) die minimale eisen forceert, in plaats van een document dat medewerkers geacht worden te lezen. Heb je dat bewijs niet, vul dan geen "ja" in op de vraag of het beleid wordt afgedwongen — alleen op de vraag of er beleid bestaat, als dat document er daadwerkelijk is. Steeds vaker wordt een los wachtwoordbeleid overigens minder relevant gevonden dan de vraag of meerfactorauthenticatie verplicht is: een sterk wachtwoord met MFA weegt in de praktijk zwaarder dan een lang wachtwoord zonder MFA.

Waar dat in de norm en de richtlijn staat

ISO/IEC 27001 behandelt wachtwoordbeheer onder de beheersmaatregelen voor toegangsbeveiliging in Annex A (authenticatie-informatie is daar een aparte control); Richtlijn (EU) 2022/2555 noemt toegangscontrole en authenticatie als een van de tien maatregelen van artikel 21 lid 2, zonder daarbij specifieke wachtwoordregels voor te schrijven — de richtlijn laat de technische invulling aan de organisatie. Een vragenlijst die naar "wachtwoordbeleid" vraagt, vertaalt dus meestal een van die twee bronnen naar een concrete, toetsbare vraag.