eles querem saber como é nossa política de senhas

A política de senhas faz parte da política de acesso, não da MFA

As listas de verificação geralmente apresentam "política de senhas" como um item separado, mas a resposta se enquadra conceitualmente em a política de acesso, incluindo a gestão de ativos empresariaisDescreva no mínimo: comprimento mínimo, requisitos de complexidade, alteração obrigatória em caso de suspeita de uso indevido (não periodicamente por padrão — isso é atualmente considerado obsoleto), e o que acontece após um número de tentativas de login falhadas. Indique também se as senhas são gerenciadas centralmente através de um gerenciador de senhas ou provedor de identidade, ou se os usuários gerenciam isso por conta própria.

Um erro comum: descrever a política de senhas separadamente da autenticação multifator para acesso aos sistemas corporativos, enquanto o cliente geralmente quer saber se uma senha fraca é compensada por um segundo fator. Portanto, coloque essas duas respostas lado a lado no arquivo da cadeia, mesmo que isso custe ao questionador duas perguntas separadas — isso economiza uma explicação que você teria de digitar repetidamente. Se você não possui uma política de senhas estabelecida mas tem um gerenciador de senhas obrigatório para todos, descreva isso factualmente; "não" com uma breve explicação é uma resposta mais completa do que um "sim" que exagera a prática.

Origem desta informação: artigo 21.º, n.º 2 e Anexo A

A política de senhas não aparece como um ponto separado no artigo 21.º, n.º 2 da Diretiva NIS2; está incluída na medida mais ampla de controle de acesso entre essas dez medidas. Na ISO/IEC 27001 Annex A é possível encontrá-la de forma mais explícita como medida de controle no tema de segurança de acesso. Os questionadores que perguntam sobre "política de senhas" geralmente extraem esse termo do Annex A, mesmo que se refiram a obrigações da NIS2 — razão pela qual a resposta na prática acaba no mesmo lugar no arquivo.