cliente pergunta sobre a nossa política de palavras-passe o que tem de conter

A política de senhas enquadra-se na segurança do acesso, não na criptografia

Uma política de senhas descreve como as senhas são criadas, geridas e substituídas: comprimento mínimo e complexidade, alteração obrigatória em caso de suspeita de uso indevido, proibição de reutilização de senhas antigas, e a forma como as senhas são armazenadas (com hash, não em texto simples). Os clientes costumam perguntar isto como parte de da política de acesso, incluindo gestão de ativos empresariais, e não como uma questão separada de criptografia. Esta distinção é relevante para determinar que resposta preence: a encriptação de dados diz respeito a algo diferente da forma como um utilizador faz login.

O que muitas vezes falta não é a própria política, mas a prova de que é aplicada: uma configuração técnica no sistema de identidade (Azure AD, Okta, ou similar) que força requisitos mínimos, em vez de um documento que se espera que os colaboradores leiam. Se não tem essa prova, não preencha "sim" na questão sobre se a política é aplicada — preencha apenas na questão sobre se existe política, se esse documento realmente existe. Cada vez mais, uma política de senhas isolada é considerada menos relevante do que a questão de saber se autenticação multifator é obrigatório: uma senha forte com MFA pesa na prática mais do que uma senha longa sem MFA.

Onde isso está na norma e na directriz

ISO/IEC 27001 aborda a gestão de senhas sob as medidas de controlo para segurança do acesso no Anexo A (a informação de autenticação é um controlo separado); a Diretiva (UE) 2022/2555 menciona o controlo de acesso e a autenticação como uma das dez medidas do artigo 21.º, n.º 2, sem prescrever regras de senhas específicas — a diretiva deixa a implementação técnica a cargo da organização. Uma lista de verificação que pergunta sobre "política de senhas" traduz geralmente uma dessas duas fontes numa questão concreta e verificável.