come descrivo la nostra politica delle password nel questionario sulla sicurezza del cliente

La politica sulle password è parte della gestione degli accessi, non della crittografia

La domanda sulla politica sulle password di solito non compare come domanda isolata, ma come parte di un blocco più ampio sulla gestione degli accessi. Pertanto, non descrivete solo le regole sulle password stesse — lunghezza minima, complessità, periodo di scadenza — ma collocatele nel contesto di chi ha accesso a quali sistemi e come ciò viene gestito. Un cliente che chiede informazioni sulla politica sulle password, in realtà chiede informazioni sulla gestione dell'identità e degli accessi. Se la politica di accesso è definita, inclusa la gestione delle risorse aziendali, la politica sulle password è una regola di questo, non un documento autonomo.

Per un fornitore che a sua volta rientra in una norma di sicurezza, il cliente si aspetta più di un semplice "le password devono avere almeno 8 caratteri". Descrivete se la politica sulle password è tecnicamente implementata (tramite il dominio o il provider di identità) o solo sulla carta, e se un gestore di password è obbligatorio o consigliato. Menzionate anche se esistono account condivisi e come vengono gestiti — questa è spesso la domanda di follow-up. Se manca una politica sulle password formale, è più onesto segnalarlo che selezionare un sì che il dossier non può supportare; molti clienti accettano una misura compensativa, come l' autenticazione a più fattori obbligatoria per l'accesso ai sistemi aziendali, come alternativa a una rigorosa politica sulle password.

Dove questo è tra le dieci misure

La politica sulle password rientra nelle misure di controllo degli accessi di cui all'articolo 21, paragrafo 2 della direttiva NIS2, dove è menzionata insieme alla sicurezza del personale e alla gestione delle risorse aziendali come una delle dieci misure da adottare. In ISO/IEC 27001 ciò è articolato nelle misure di controllo dell'Allegato A, nella categoria della sicurezza degli accessi — qui la politica sulle password è esplicitamente collegata alla più ampia politica di autenticazione, non a impostazioni tecniche isolate. Per i fornitori che rientreranno nella Legge sulla cibersicurezza una volta che entrerà in vigore, presumibilmente si applica la stessa articolazione, perché la legge segue l'articolazione della direttiva.