vogliono sapere come è strutturata la nostra politica delle password

La politica delle password è parte della politica di accesso, non dell'MFA

I questionari di solito presentano "politica delle password" come una voce separata, ma la risposta appartiene sostanzialmente a la politica di accesso, inclusa la gestione dei beni aziendaliDescrivi almeno: lunghezza minima, requisiti di complessità, modifica obbligatoria in caso di sospetto di abuso (non periodicamente su base standard — ormai considerato obsoleto) e cosa accade dopo un numero di tentativi di accesso non riusciti. Indica anche se le password sono gestite centralmente tramite un gestore di password o un fornitore di identità, oppure se gli utenti le gestiscono da soli.

Un errore comune: descrivere la politica delle password separatamente da autenticazione a più fattori per l'accesso ai sistemi aziendalimentre il cliente spesso vuole sapere se una password debole è compensata da un secondo fattore. Quindi metti affianco le due risposte nel dossier della catena, anche se costa al richiedente due domande separate — evita una spiegazione che altrimenti dovresti digitare ripetutamente. Se non hai una politica delle password formale ma hai un gestore di password obbligatorio per tutti, descrivilo fattualmente; "no" con una breve spiegazione è una risposta più completa di un "sì" che sopravvaluta la pratica.

Fonte: articolo 21 paragrafo 2 e Allegato A

La politica delle password non è un punto separato nell'articolo 21, paragrafo 2 della direttiva NIS2; rientra nella misura più ampia di controllo di accesso all'interno di queste dieci misure. In ISO/IEC 27001 Allegato A è più esplicita come misura di controllo all'interno del tema della sicurezza dell'accesso. I richiedenti che fanno domande sulla "politica delle password" di solito prendono in prestito questo termine dall'Allegato A, anche se si riferiscono agli obblighi della NIS2 — ecco perché la risposta in pratica finisce nello stesso punto del dossier.