il cliente chiede la nostra politica sulle password cosa deve contenere

La politica delle password rientra nella sicurezza dell'accesso, non nella crittografia

Una politica delle password descrive come vengono create, gestite e sostituite le password: lunghezza minima e complessità, modifica obbligatoria in caso di sospetto abuso, divieto di riutilizzo di vecchie password, e il modo in cui vengono archiviate le password (sottoposte a hash, non in testo semplice). I clienti pongono questa domanda solitamente come parte di la politica di accesso, inclusa la gestione dei beni aziendali, non come una questione separata di crittografia. Questa distinzione è rilevante per quale risposta inserisci: la crittografia dei dati riguarda qualcosa di diverso da come un utente accede.

Ciò che spesso manca non è la politica stessa, ma la prova che viene applicata: un'impostazione tecnica nel sistema di identità (Azure AD, Okta, o simili) che forza i requisiti minimi, invece di un documento che i dipendenti dovrebbero leggere. Se non disponi di tale prova, non inserire "sì" alla domanda se la politica viene applicata — solo alla domanda se esiste una politica, se quel documento è effettivamente presente. Sempre più spesso una politica delle password separata è considerata meno rilevante rispetto alla questione se autenticazione multifattore è obbligatorio: una password forte con MFA ha un peso pratico maggiore rispetto a una password lunga senza MFA.

Dove questo si trova nella norma e nella linea guida

ISO/IEC 27001 affronta la gestione delle password tra le misure di controllo per la sicurezza dell'accesso nell'Allegato A (le informazioni di autenticazione sono un controllo separato); la Direttiva (UE) 2022/2555 menziona il controllo degli accessi e l'autenticazione come una delle dieci misure dell'articolo 21, paragrafo 2, senza prescrivere specifiche regole sulle password — la direttiva lascia l'implementazione tecnica all'organizzazione. Un questionario che chiede una "politica delle password" di solito traduce quindi una di queste due fonti in una domanda concreta e verificabile.