lista de perguntas questiona nossa política de senha, deve estar documentada por escrito

A política de senhas faz parte da política de controlo de acesso, não isoladamente

Sim, uma política de senhas documentada por escrito é a norma que o questionário espera — mas a própria pergunta é geralmente mais ampla do que apenas senhas. O artigo 21.º n.º 2 da Diretiva NIS2 não menciona uma "política de senhas" separada como medida isolada; as senhas enquadram-se no ponto (i), política de controlo de acesso, e no ponto (j), utilização de autenticação multifator. Se o questionário pergunta especificamente sobre política de senhas, geralmente testa-se se faz parte de uma política mais ampla política de acesso documentada por escrito: quem obtém quais direitos, como se constrói uma senha, com que frequência é alterada, o que acontece quando um utilizador sai da organização.

Se não tiver um documento separado, a questão é se a política já existe noutro lugar — por exemplo, numa política de segurança de informação mais ampla ou nas configurações do seu sistema de gestão de identidades e acessos. A Norma ISO 27001 Annex A funciona com a mesma lógica: não existe um controlo separado para senhas, mas o controlo A.5.17 (informação de autenticação) enquadra-se no tema gestão de acessos. Se não tiver um certificado ISO e não tiver um documento separado, a resposta "não" é neste momento a correta para a pergunta isolada sobre senhas — possivelmente com uma nota explicativa de que a autenticação multifator está implementada, o que muitas vezes é mais importante do que a política de senhas em si. Esta última é uma pergunta separada em muitos questionários. consulte a pergunta sobre autenticação multifator.

Onde isto decorre: artigo 21.º n.º 2 subalíneas i) e j)

O artigo 21.º n.º 2 da Diretiva (UE) 2022/2555 menciona na subalínea (i) "políticas e procedimentos relativos à utilização de criptografia e, se for caso disso, encriptação" não como fonte para senhas — estas enquadram-se na "política de controlo de acesso" (subalínea i) na tradução comum das dez medidas) e na autenticação multifator (subalínea j). A Lei de Cibersegurança incorporará esta classificação assim que entrar em vigor em 15 de agosto de 2026. A Norma ISO/IEC 27001 Annex A coloca também a gestão de senhas no tema mais amplo de gestão de acessos, não como um controlo autónomo.