il cliente chiede la nostra politica sulle password cosa devo rispondere

La politica delle password fa parte del controllo degli accessi, non della crittografia

La politica delle password rientra nel controllo degli accessi, non nella crittografia o nell'autenticazione separatamente. Se l'elenco chiede "password policy" o "wachtwoordbeleid", di solito si verifica se sono stabiliti requisiti minimi: lunghezza minima, complessità, cambio obbligatorio al sospetto di compromissione e divieto di riutilizzo delle vecchie password. È sufficiente un documento di politica in cui figurano questi punti, più un'impostazione tecnica che li applichi — non solo una linea guida che i dipendenti dovrebbero seguire. Se manca il documento ma l'impostazione è corretta in Active Directory o nel provider di identità, spesso basta come elemento di prova; uno screenshot della politica nella gestione del sistema è allora sufficiente.

Se non hai una politica delle password separata ma hai reso obbligatoria l'autenticazione a più fattori per tutti i sistemi aziendali, quella risposta è spesso più forte di una sola politica delle password — molti elenchi chiedono questo come punto separato, vedi se l'autenticazione a più fattori è obbligatoria per l'accesso ai sistemi aziendali. Compilalo come supplemento, non come sostituzione: un cliente che chiede specificamente informazioni sulla politica delle password vuole vedere quel punto riscontrato separatamente. Se non hai documentato nulla, "no" con una nota che MFA è obbligatorio è spesso più onesto e completo di un vago "sì" a una domanda che non puoi supportare con un documento.

Dove questo si trova nella norma e nella linea guida

ISO/IEC 27001 Allegato A contiene una specifica misura di controllo per le informazioni di autenticazione, inclusa la gestione delle password; chi è certificato per questo può fare riferimento ad esso come elemento di prova, vedi se l'impresa è certificata ISO 27001. NIS2 stesso non menziona la politica delle password come punto separato tra le dieci misure dell'articolo 21, paragrafo 2 — rientra nella più ampia categoria di controllo degli accessi e protezione dei sistemi. Gli elenchi di controllo che fanno riferimento a NIS2 spesso traducono quel punto più ampio loro stessi in una domanda concreta sulla password; il requisito sottostante è allora la politica di accesso nel suo complesso, non le password in modo specifico.