questionário pergunta sobre nossa política de senhas como respondo isso

Política de senhas faz parte do controlo de acesso, não da autenticação separadamente

Você responde sobre política de senhas normalmente em conjunto com a política de acesso mais ampla: quem pode aceder a qual sistema, como é atribuído e revogado esse acesso, e que requisitos se aplicam às próprias senhas. Concretamente, trata-se de comprimento mínimo, complexidade, alteração obrigatória em caso de suspeita de abuso, e proibição de reutilização de senhas antigas. Muitos portais colocam isto como uma pergunta separada, mas no dossiê da cadeia pertence a a política de acesso, incluindo a gestão de ativos empresariais — onde você fixa qual é a política e quem a supervisiona.

Se não tem uma política de senhas separada e documentada, mas tem acordos práticos — por exemplo através de um gestor de senhas ou definições impostas no Active Directory — isso é frequentemente suficiente como fundamentação, desde que consiga demonstrá-lo. Se não houver qualquer documentação, então "não" é a resposta honesta; preencher uma suposição como evidência não ajuda numa auditoria. Tenha atenção à combinação com autenticação multifator obrigatória para acesso a sistemas empresariais: cada vez mais clientes pedem isto como complemento ou substituição de uma política de senhas rigorosa, porque a MFA elimina em grande medida o risco de uma senha fraca.

Rastreável até artigo 21.º parágrafo 2.º e Anexo A

Política de senhas não é uma obrigação autónoma, mas uma aplicação concreta das medidas relativas ao controlo de acesso. No artigo 21.º, n.º 2 da Diretiva NIS2 (Diretiva (UE) 2022/2555) o controlo de acesso e a gestão de ativos figuram como uma das dez medidas obrigatórias; política de senhas é aí a aplicação mais concreta. No Anexo A da ISO/IEC 27001 isto reaparece nas medidas de controlo relativas à gestão do acesso e à informação de autenticação. Uma organização certificada para essa norma tem praticamente sempre a política de senhas documentada como parte da política de acesso mais ampla.