cliente pergunta sobre a nossa política de palavras-passe o que devo responder

A política de passwords faz parte do controlo de acesso, não de criptografia

A política de passwords situa-se sob controlo de acesso, não sob criptografia ou autenticação em separado. Quando o questionário pergunta por "password policy" ou "wachtwoordbeleid", geralmente verifica-se se existem requisitos mínimos estabelecidos: comprimento mínimo, complexidade, alteração obrigatória em caso de suspeita de comprometimento, e proibição de reutilização de passwords antigas. Suficiente é um documento de política que contenha esses pontos, mais uma configuração técnica que os imponha — não apenas uma directiva que se espera que os colaboradores cumpram. Se faltar o documento mas a configuração estiver correcta no Active Directory ou no fornecedor de identidades, isso muitas vezes é já suficiente como prova; uma captura de ecrã da política na administração do sistema é então suficiente.

Se não tem uma política de passwords separada mas tem autenticação multifactor obrigatória para todos os sistemas empresariais, essa resposta é muitas vezes mais forte do que uma política de passwords sozinha — muitos questionários perguntam isso como um ponto separado, consulte ou se a autenticação multifactor é obrigatória para acesso aos sistemas empresariais. Preencha isso como complemento, não como substituição: um cliente que pergunta especificamente sobre política de passwords quer ver esse ponto respondido separadamente. Se não tem nada documentado, então "não" com uma explicação de que MFA é obrigatório é muitas vezes mais honesto e completo do que um vago "sim" a uma pergunta que não pode sustentar com um documento.

Onde isso está na norma e na directriz

ISO/IEC 27001 Annex A contém uma medida de controlo específica para informações de autenticação, incluindo gestão de passwords; quem está certificado para isso pode referir-se a isso como prova, consulte se a empresa é certificada ISO 27001. NIS2 propriamente dito não menciona política de passwords como um ponto separado entre as dez medidas do artigo 21º, n.º 2 — situa-se sob a categoria mais ampla de controlo de acesso e segurança de sistemas. Os questionários que se referem a NIS2 traduzem muitas vezes esse ponto mais amplo numa pergunta concreta sobre passwords; o requisito subjacente é então a política de acesso como um todo, não passwords especificamente.