client întreabă despre politica noastră de parole ce ar trebui să conțină

Politica de parolă se încadrează în controlul accesului, nu în criptografie

O politică de parolă descrie modul în care parolele sunt create, gestionate și înlocuite: lungime minimă și complexitate, schimbare obligatorie în caz de suspiciune de utilizare abuzivă, interzicerea reutilizării parolelor vechi, și modul în care parolele sunt stocate (hash-uite, nu în text clar). Clienții pun această întrebare de obicei ca parte din politica de acces, inclusiv gestionarea activelor corporative, nu ca o chestiune separată de criptografie. Această distincție este relevantă pentru care răspuns completezi: criptarea datelor se referă la ceva diferit de modul în care se autentifică un utilizator.

Ceea ce de obicei lipsește nu este politica în sine, ci dovada că aceasta este aplicată: o configurare tehnică în sistemul de identitate (Azure AD, Okta, sau similar) care forțează cerințe minime, în loc de un document pe care angajații sunt presupuși să-l citească. Dacă nu ai dovada aceasta, nu completa cu "da" la întrebarea dacă politica este aplicată — doar la întrebarea dacă există politica, dacă documentul acela chiar există. Din ce în ce mai frecvent, o politică de parolă separată devine mai puțin relevantă decât întrebarea dacă autentificare multifactor este obligatoriu: o parolă puternică cu MFA are mai mult cuvânt în practică decât o parolă lungă fără MFA.

Unde se găsește aceasta în normă și în linie directoare

ISO/IEC 27001 abordează gestionarea parolelor sub măsurile de control pentru controlul accesului din Anexa A (informațiile de autentificare sunt acolo un control separat); Directiva (UE) 2022/2555 menționează controlul accesului și autentificarea ca una din cele zece măsuri ale articolului 21 alineatul 2, fără a prescrie reguli specifice de parolă — directiva lasă implementarea tehnică la latitudinea organizației. O listă de întrebări care întreabă despre "politica de parolă" traduce de obicei una din aceste două surse într-o întrebare concretă, verificabilă.