клиентът пита за нашата политика за пароли, какво трябва да отговоря

Политиката за пароли е част от контрола на достъпа, а не криптография

Политиката за пароли попада под контрола на достъпа, а не под криптография или удостоверяване отделно. Ако списъкът пита за "password policy" или "wachtwoordbeleid", обикновено се проверява дали има установени минимални изисквания: минимална дължина, сложност, задължена промяна при подозрение на компрометиране и забрана за повторното използване на стари пароли. Достатъчно е политически документ, в който са посочени тези точки, плюс техническа настройка, която ги налага — не само ръководство, което служителите се предполага, че следват. Ако липсва документът, но настройката е правилна в Active Directory или у доставчика на идентичност, това често е вече достатъчно като доказателство; снимка на политиката в системното управление е достатъчна.

Ако нямаш отделна политика за пароли, но имаш задължена многофакторна удостоверяване за всички корпоративни системи, този отговор често е по-силен от политика за пароли сама по себе си — много списъци го питат като отделна точка, виж или е ли многофакторната удостоверяване задължена за достъп до корпоративни системи". Попълни го като допълнение, а не като замяна: клиент, който конкретно пита за политика за пароли, иска тази точка да бъде отговорена отделно. Ако нямаш нищо установено, тогава "не" с пояснение, че MFA е задължена, често е по-честно и по-пълно от смътно "да" на въпрос, който не можеш да подкрепиш с документ.

Където това е в норма и ръководството

ISO/IEC 27001 Annex A съдържа специфична управленска мярка за информация за удостоверяване, включително управление на пароли; всеки, който е сертифициран за това, може да се позове на това като доказателство, виж дали предприятието е сертифицирано по ISO 27001". NIS2 самата не споменава политика за пароли като отделна точка сред десетте мерки на член 21, параграф 2 — попада под по-широката категория контрола на достъпа и защита на системите. Въпросници, които се позовават на NIS2, превеждат тази по-широка точка често сами в конкретен въпрос за пароли; основното изискване е тогава политиката за достъп като цяло, а не пароли конкретно.