le client demande notre politique de mots de passe que dois-je répondre

La politique de mot de passe fait partie du contrôle d'accès, non de la cryptographie

La politique de mot de passe relève du contrôle d'accès, non de la cryptographie ou de l'authentification séparément. Si le questionnaire demande une « password policy » ou « politique de mot de passe », il est généralement contrôlé s'il existe des exigences minimales établies : longueur minimale, complexité, modification obligatoire en cas de suspicion de compromission, et interdiction de réutilisation d'anciens mots de passe. Une politique documentée contenant ces points, plus un paramètre technique qui les impose — non seulement une directive que les collaborateurs sont censés respecter — est suffisante. Si le document manque mais que le paramètre est bien configuré dans Active Directory ou le fournisseur d'identité, cela suffit souvent comme preuve ; une capture d'écran de la politique dans la gestion système est alors suffisante.

Si vous n'avez pas de politique de mot de passe distincte mais que vous imposez l'authentification multifacteur pour tous les systèmes d'entreprise, cette réponse est souvent plus forte qu'une politique de mot de passe seule — de nombreux questionnaires posent cette question comme point séparé, voir ou si l'authentification multifacteur est obligatoire pour accéder aux systèmes d'entreprise. Complétez avec cela, ne le remplacez pas : un client qui demande spécifiquement une politique de mot de passe veut voir ce point traité séparément. Si vous n'avez rien documenté, une réponse « non » avec une explication selon laquelle l'authentification multifacteur est obligatoire est souvent plus honnête et plus complète qu'un vague « oui » sur une question que vous ne pouvez pas étayer par un document.

Où cela figure dans la norme et la directive

L'annexe A de l'ISO/IEC 27001 contient une mesure de contrôle spécifique pour les informations d'authentification, y compris la gestion des mots de passe ; ceux qui en sont certifiés peuvent s'y référer comme preuve, voir ou si l'entreprise est certifiée ISO 27001. NIS2 lui-même ne mentionne pas la politique de mot de passe comme point séparé parmi les dix mesures de l'article 21, paragraphe 2 — elle relève de la catégorie plus large du contrôle d'accès et de la sécurité des systèmes. Les questionnaires qui font référence à NIS2 traduisent souvent ce point plus large eux-mêmes en une question concrète sur les mots de passe ; l'exigence sous-jacente est alors la politique d'accès dans son ensemble, non les mots de passe spécifiquement.