client întreabă despre politica noastră de parole ce trebuie să răspund

Politica de parolă face parte din controlul accesului, nu din criptografie

Politica de parolă cade sub controlul accesului, nu sub criptografie sau autentificare separat. Dacă lista întreabă cu privire la "password policy" sau "wachtwoordbeleid", de obicei se verifică dacă sunt stabilite cerințe minime: lungimea minimă, complexitate, schimbare obligatorie la suspiciunea compromiterii și o prohibiție privind reutilizarea parolelor vechi. Suficient este un document de politică care conține aceste puncte, plus o configurație tehnică care le impune — nu doar o linie directoare pe care angajații ar trebui să o urmeze. Dacă documentul lipsește, dar configurația este corectă în Active Directory sau în furnizorul de identitate, aceasta este adesea deja suficientă ca dovadă; o captură de ecran a politicii din gestionarea sistemului este atunci suficientă.

Dacă nu ai o politică de parolă separată, dar ai autentificarea multifactorială obligatorie pentru toate sistemele de afaceri, acel răspuns este adesea mai puternic decât o politică de parolă singură — multe liste cer aceasta ca un punct separat, a se vedea sau autentificarea multifactorială este obligatorie pentru accesul la sistemele de afaceri". Completează aceasta ca o completare, nu ca înlocuire: un client care întreabă în mod specific cu privire la politica de parolă, dorește ca acel punct să fie răspuns separat. Dacă nu ai nimic stabilit, atunci "nu" cu o explicație că MFA este obligatorie este adesea mai onest și mai complet decât un vag "da" la o întrebare pe care nu o poți susține cu un document.

Unde se găsește aceasta în normă și în linie directoare

ISO/IEC 27001 Annex A conține o măsură de control specifică pentru informațiile de autentificare, inclusiv gestionarea parolelor; cei care sunt certificați pentru aceasta pot face referință la aceasta ca dovadă, a se vedea sau dacă întreprinderea este certificată ISO 27001". NIS2 în sine nu menționează politica de parolă ca un punct separat dintre cele zece măsuri din articolul 21 alineatul 2 — aceasta cade sub categoria mai largă de control al accesului și securitatea sistemelor. Chestionarele care fac referire la NIS2 traduc adesea acel punct mai larg de sine stătător într-o întrebare concretă cu privire la parole; cerința subiacentă este atunci politica de acces în ansamblu, nu parolele în mod specific.