klient pyta o nasze zasady dotyczące haseł, co powinno się w nich znaleźć

Polityka haseł należy do kontroli dostępu, a nie kryptografii

Polityka haseł opisuje, jak hasła są tworzone, zarządzane i wymieniane: minimalna długość i złożoność, obowiązkowa zmiana w przypadku podejrzenia nadużycia, zakaz ponownego użycia starych haseł oraz sposób, w jaki hasła są przechowywane (zahaszowane, a nie w postaci zwykłego tekstu). Klienci pytają o to zwykle jako część polityki dostępu, w tym zarządzania zasobami przedsiębiorstwa, a nie jako osobne zagadnienie kryptografii. Rozróżnienie to jest istotne dla wybrania odpowiedzi: szyfrowanie danych dotyczy czegoś innego niż sposób logowania się użytkownika.

Często brakuje nie samej polityki, ale dowodu, że jest egzekwowana: ustawienia technicznego w systemie tożsamości (Azure AD, Okta lub podobnym), które wymuszają minimalne wymagania, zamiast dokumentu, który pracownicy mają czytać. Jeśli nie posiadasz tego dowodu, nie wypełniaj "tak" na pytanie, czy polityka jest egzekwowana — tylko na pytanie, czy polityka istnieje, jeśli dokument rzeczywiście istnieje. Coraz częściej osobna polityka haseł jest uważana za mniej istotną niż pytanie, czy uwierzytelnianie wieloskładnikowe jest obowiązkowe: silne hasło z MFA ma w praktyce większą wagę niż długie hasło bez MFA.

Gdzie to znajduje się w normie i wytycznej

ISO/IEC 27001 traktuje zarządzanie hasłami w ramach środków kontroli dostępu w Załączniku A (informacje uwierzytelniające stanowią tam osobną kontrolę); Dyrektywa (UE) 2022/2555 wymienia kontrolę dostępu i uwierzytelnianie jako jeden z dziesięciu środków artykułu 21 ust. 2, bez określania konkretnych reguł haseł — dyrektywa pozostawia techniczną implementację organizacji. Kwestionariusz pytający o "politykę haseł" zazwyczaj tłumaczy więc jedno z tych dwóch źródeł na konkretne, testowalne pytanie.