chestionarul întreabă despre politica noastră de parole, trebuie să fie documentată în scris

Politica parolelor face parte din politica de acces, nu separat

Da, o politică a parolelor consemnată în scris este norma pe care o așteaptă chestionarul — dar întrebarea în sine este de obicei înțeleasă într-un sens mai larg decât doar parolele. Articolul 21 alineatul (2) NIS2 nu menționează o "politică a parolelor" separată ca măsură distinctă; parolele se încadrează sub punctul (i), politica de control al accesului, și sub punctul (j), utilizarea autentificării multifactoriale. Dacă chestionarul cere în mod specific politica parolelor, se verifică de obicei dacă aceasta face parte dintr-o politică mai largă politica de acces consemnată în scris: cine primește ce drepturi, cum se construiește o parolă, cât de des se schimbă, ce se întâmplă la încetarea contractului de muncă.

Dacă nu dispui de un document separat, întrebarea este dacă politica existe deja în altă parte — de exemplu, într-o politică de securitate a informațiilor mai largă sau în setările sistemului de gestionare a identității și accesului. ISO 27001 Annex A funcționează după aceeași logică: nu există o control separată pentru parole, dar control A.5.17 (informații de autentificare) se încadrează sub tema gestionării accesului. Dacă nu dispui de certificare ISO și nici de document separat, atunci "nu" la acest moment este răspunsul corect la întrebarea separată despre parole — eventual cu o precizare că autentificarea multifactorială este totuși implementată, ceea ce de obicei contează mai mult decât politica parolelor în sine. Aceasta din urmă este o întrebare separată în multe chestionare, consultați întrebarea privind autentificarea multifactor.

Unde rezultă din aceasta: articolul 21 alineatul 2 literele i și j

Articolul 21 alineatul 2 din Directiva (UE) 2022/2555 enumeră la litera (i) „politici și proceduri privind utilizarea criptografiei și, dacă este relevant, criptării