como descrevo nossa política de senhas no questionário de segurança do cliente

A política de palavra-passe faz parte do controlo de acesso, não da criptografia

A questão sobre a política de palavra-passe geralmente não aparece como uma pergunta isolada, mas como parte de um bloco mais amplo sobre controlo de acesso. Por isso, não descreva apenas as regras de palavra-passe em si — comprimento mínimo, complexidade, período de validade — mas coloque-as no contexto de quem tem acesso a que sistema e como isso é gerido. Um cliente que questiona sobre política de palavra-passe está, na verdade, a questionar sobre gestão de identidade e acesso. Se a política de acesso é estabelecida, incluindo a gestão de ativos empresariais, a política de palavra-passe é uma regra daí, não um documento autónomo.

Para um fornecedor que se enquadra numa norma de segurança, o cliente espera mais do que apenas "palavras-passe devem ter um mínimo de 8 caracteres". Descreva se a política de palavra-passe é tecnicamente aplicada (através do domínio ou do fornecedor de identidade) ou apenas consta de documentação, e se um gestor de palavras-passe é obrigatório ou recomendado. Mencione também se existem contas partilhadas e como são tratadas — essa é frequentemente a questão seguinte. Se falta uma política de palavra-passe formal, é mais honesto comunicá-lo do que assinalar um sim que o dossiê não consegue fundamentar; muitos clientes aceitam uma medida compensatória, como autenticação multifator obrigatória para acesso a sistemas empresariais, como alternativa a uma política de palavra-passe rigorosa.

Onde isto se encontra nas dez medidas

A política de palavra-passe enquadra-se nas medidas de controlo de acesso do artigo 21.º, n.º 2 da Diretiva NIS2, onde é mencionada, juntamente com a segurança de pessoal e a gestão de ativos empresariais, como uma das dez medidas a tomar. Na ISO/IEC 27001, isto é pormenorizado nas medidas de controlo do Anexo A, sob a categoria de segurança de acesso — ali a política de palavra-passe é explicitamente ligada à política de autenticação mais ampla, não a configurações técnicas isoladas. Para fornecedores que se enquadrem na Lei da Cibersegurança assim que esta entre em vigor, é expectável que se aplique a mesma classificação, uma vez que essa lei segue a classificação da diretiva.