klient pyta o nasze zasady dotyczące haseł, co powinienem odpowiedzieć

Polityka haseł jest częścią kontroli dostępu, a nie kryptografii

Polityka haseł należy do kontroli dostępu, a nie do kryptografii ani uwierzytelniania oddzielnie. Jeśli lista pyta o "password policy" lub "politykę haseł", zwykle sprawdza się, czy określone zostały minimalne wymagania: minimalna długość, złożoność, obowiązkowa zmiana w przypadku podejrzenia kompromitacji oraz zakaz ponownego użycia starych haseł. Wystarczający jest dokument polityki zawierający te punkty oraz ustawienie techniczne, które je wymusza — nie tylko wytyczna, którą pracownicy mają przestrzegać. Jeśli brakuje dokumentu, ale ustawienie jest prawidłowe w usłudze Active Directory lub dostawcy tożsamości, często wystarczy to jako dowód; zrzut ekranu polityki w zarządzaniu systemem jest wtedy wystarczający.

Jeśli nie masz osobnej polityki haseł, ale masz obowiązkowe uwierzytelnianie wieloskładnikowe dla wszystkich systemów biznesowych, ta odpowiedź jest często silniejsza niż sama polityka haseł — wiele list pyta o to jako osobny punkt, patrz lub czy uwierzytelnianie wieloskładnikowe jest obowiązkowe w celu uzyskania dostępu do systemów biznesowych. Wpisz to jako uzupełnienie, a nie zastępowanie: klient pytający konkretnie o politykę haseł chce zobaczyć ten punkt odpowiadany oddzielnie. Jeśli nic nie udokumentowałeś, wówczas "nie" z wyjaśnieniem, że MFA jest obowiązkowe, jest często bardziej uczciwe i kompletne niż niejasne "tak" do pytania, które nie możesz poprzeć dokumentem.

Gdzie to znajduje się w normie i wytycznej

ISO/IEC 27001 Załącznik A zawiera konkretny środek kontroli dotyczący informacji uwierzytelniającej, w tym zarządzania hasłami; kto posiada certyfikat w tej dziedzinie, może się na to powołać jako dowód, patrz czy przedsiębiorstwo posiada certyfikat ISO 27001. NIS2 samo w sobie nie wymienia polityki haseł jako osobnego punktu wśród dziesięciu środków artykułu 21 ust. 2 — podpada ona pod szerszą kategorię kontroli dostępu i bezpieczeństwa systemów. Listy zawierające odniesienia do NIS2 często tłumaczą ten szerszy punkt na konkretne pytanie o hasła; podstawowym wymogiem jest wtedy całościowa polityka dostępu, a nie hasła w szczególności.