frågelistan frågar om vår lösenordspolicy hur svarar jag på det

Lösenordspolicy omfattas av åtkomststyrning, inte av autentisering separat

Lösenordspolicy besvaras vanligtvis tillsammans med den bredare åtkomstpolicyn: vem får åtkomst till vilket system, hur tilldelas och återkallas det, och vilka krav gäller för lösenorden själva. Konkret handlar det om minsta längd, komplexitet, obligatorisk ändring vid misstanke om missbruk, och förbudet mot återanvändning av gamla lösenord. Många portaler ställer denna som en separat fråga, men i leverantörsarkivet hör detta hemma under åtkomstpolicyn, inklusive hantering av affärstillgångar — där fastställer du vilken policy som gäller och vem som övervakar den.

Har du ingen separat, dokumenterad lösenordspolicy men väl praktiska avtal — till exempel via en lösenordshanterare eller tvingade inställningar i Active Directory — är det ofta tillräckligt som underlag, förutsatt att du kan påvisa det. Om all dokumentation saknas är "nej" det ärliga svaret; att fylla i en misstanke som bevis hjälper inte vid en revision. Observera kombinationen med flerfaktorsautentisering för åtkomst till företagssystem: alltfler kunder ställer detta som ett tillägg till eller ersättning för en streng lösenordspolicy, eftersom MFA i stort sett motverkar risken med ett svagt lösenord.

Kan härledas till artikel 21 punkt 2 och Bilaga A

Lösenordspolicy är inte ett oberoende krav utan en konkretisering av åtgärderna kring åtkomstkontroll. I artikel 21 punkt 2 i NIS2-direktivet (Direktiv (EU) 2022/2555) nämns åtkomstkontroll och tillgångshantering som ett av de tio obligatoriska åtgärderna; lösenordspolicy är den mest konkreta implementeringen av detta. I Bilaga A till ISO/IEC 27001 återkommer detta under kontrollåtgärderna för åtkomsthantering och autentiseringsinformation. En organisation som är certifierad för denna standard har nästan alltid redan dokumenterad lösenordspolicy som en del av den bredare åtkomstpolicyn.