kund frågar om vår lösenordspolicy vad ska jag svara

Lösenordspolicy är en del av åtkomstkontroll, inte kryptering

Lösenordspolicy faller under åtkomstkontroll, inte under kryptering eller autentisering separat. Om listan frågar efter "password policy" eller "wachtwoordbeleid", kontrolleras det vanligtvis om minimikrav är fastställda: minimilängd, komplexitet, obligatorisk ändring vid misstanke om kompromittering, och förbud mot återanvändning av gamla lösenord. Tillräckligt är ett policydokument som innehåller dessa punkter, plus en teknisk inställning som tvingar fram dem — inte bara en riktlinje som anställda förväntas följa. Om dokumentet saknas men inställningen är korrekt i Active Directory eller identitetsprovidern, är det ofta redan tillräckligt som bevis; en skärmbild av policyn i systemhanteringen räcker då.

Har du ingen separat lösenordspolicy men har tvångsmässig flerfaktorsautentisering för alla företagssystem, är det svaret ofta starkare än enbart en lösenordspolicy — många listor frågar det som en separat punkt, se eller om flerfaktorsautentisering är obligatorisk för åtkomst till företagssystem". Fyll i det som ett tillägg, inte som ersättning: en kund som specifikt frågar efter lösenordspolicy vill se den punkten besvarad separat. Har du inget dokumenterat, är "nej" med en förklaring att MFA är obligatorisk ofta mer ärligt och fullständigt än ett vagt "ja" på en fråga som du inte kan stödja med ett dokument.

Där det står i normen och riktlinjen

ISO/IEC 27001 Annex A innehåller en specifik kontrollåtgärd för autentiseringsinformation, inklusive lösenordshantering; den som är certifierad för detta kan hänvisa till det som bevis, se eller huruvida företaget är ISO 27001-certifierat". NIS2 själv nämner inte lösenordspolicy som en separat punkt bland de tio åtgärderna i artikel 21 stycke 2 — det faller där under den bredare kategorin åtkomstkontroll och systemsäkerhet. Enkäter som hänvisar till NIS2 översätter ofta den bredare punkten själva till en konkret lösenordsfråga; den underliggande kravet är då åtkomstpolicyn som helhet, inte lösenord specifikt.