hur beskriver jag vår lösenordspolicy i kundens säkerhetsenk

Lösenordspolicy är en del av åtkomstkontroll, inte kryptografi

Frågan om lösenordspolicy förekommer vanligtvis inte som en separat fråga, utan som en del av ett bredare avsnitt om åtkomstkontroll. Beskriv därför inte bara lösenordsreglerna själva — minimilängd, komplexitet, utgångsdatum — utan placera dem i sammanhanget av vem som har åtkomst till vilket system och hur det hanteras. En kund som frågar om lösenordspolicy frågar i själva verket om identity- och accessmanagement. Om åtkomstpolicyn är fastställd inklusive hanteringen av företagstillgångar, är lösenordspolicyn en regel därifrån, inte ett fristående dokument.

För en leverantör som själv omfattas av en säkerhetsnorm förväntar sig kunden mer än bara "lösenord måste vara minst 8 tecken". Beskriv om lösenordspolicy upprätthålls tekniskt (via domänen eller identitetsleverantören) eller bara finns på papper, och om en lösenordshanterare är obligatorisk eller rekommenderad. Nämn också om delade konton finns och hur de hanteras — det är ofta följdfrågan. Om en formell lösenordspolicy saknas, är det mer ärligt att rapportera det än att kryssa i ja som dossén inte kan underbygga; många kunder accepterar en kompensatorisk åtgärd, såsom obligatorisk flerfaktorsautentisering för åtkomst till företagssystem, som ett alternativ till en strikt lösenordspolicy.

Var detta finns i de tio åtgärderna

Lösenordspolicy faller under åtgärderna för åtkomstkontroll i artikel 21 punkt 2 i NIS2-direktivet, där det tillsammans med personalsäkerhet och hantering av företagstillgångar omnämns som en av de tio åtgärder som måste vidtas. I ISO/IEC 27001 är detta utvecklat i kontrollmåtten i Annex A, under kategorin åtkomstsäkerhet — där är lösenordspolicy uttryckligt kopplad till den bredare autentiseringspolicyn, inte till fristående tekniska inställningar. För leverantörer som omfattas av cyberlagstiftningen när den träder i kraft förväntas samma uppdelning gälla, eftersom lagen följer direktivets uppdelning.