klijent pita o našoj politici lozinki što bi trebalo biti u njoj

Politika zaporki spada pod kontrolu pristupa, a ne pod kriptografiju

Politika zaporki opisuje kako se zaporke kreiraju, upravljaju i zamjenjuju: minimalna dužina i složenost, obavezna promjena pri sumnji na zlouporabu, zabrana ponovnog korištenja starih zaporki i način na koji se zaporke pohranjuju (heširane, a ne u običnom tekstu). Klijenti obično to pitaju kao dio politike pristupa, uključujući upravljanje poslovnom imovinom, a ne kao posebno pitanje kriptografije. Ta razlika je relevantna za koji odgovor unosite: enkripcija podataka govori o nečem drugom nego o tome kako se korisnik prijavljuje.

Ono što često nedostaje nije sama politika, već dokaz da se provodi: tehnička konfiguracija u sustavu identiteta (Azure AD, Okta ili slično) koja nameće minimalne zahtjeve, umjesto dokumenta koji se očekuje da zaposlenici čitaju. Ako nemate taj dokaz, ne unosite "da" na pitanje je li politika provedena — samo na pitanje postoji li politika, ako taj dokument stvarno postoji. Politika zasebnih zaporki postaje sve manje relevantna od pitanja je li autentifikacija s više čimbenika obavezna: jaka zaporka s MFA u praksi teži više nego duga zaporka bez MFA.

Gdje se to nalazi u normi i smjernicama

ISO/IEC 27001 tretira upravljanje zaporkami pod mjerama kontrole pristupa u Prilogu A (autentifikacijska informacija je tamo posebna kontrola); Direktiva (EU) 2022/2555 spominje kontrolu pristupa i autentifikaciju kao jednu od deset mjera članka 21. stavka 2., bez propisivanja specifičnih pravila za zaporke — direktiva dodjeljuje tehničku provedbu organizaciji. Popis pitanja koji pita o "politici zaporki" obično prevodi jedan od ta dva izvora u konkretno, mjerljivo pitanje.