kund frågar om vår lösenordspolicy vad ska det innehålla

Lösenordspolicy omfattas av åtkomstkontroll, inte kryptering

En lösenordspolicy beskriver hur lösenord skapas, hanteras och byts ut: minimilängd och komplexitet, obligatorisk ändring vid misstanke om missbruk, förbud mot återanvändning av gamla lösenord, och sättet på vilket lösenord lagras (hashade, inte i klartext). Kunder frågar detta vanligen som en del av åtkomstpolicyn, inklusive hantering av företagsresurser, inte som en separat krypteringsfråga. Denna skillnad är relevant för vilket svar du fyller i: datakryptering handlar om något annat än hur en användare loggar in.

Vad som ofta saknas är inte själva policyn, utan beviset att den tillämpas: en teknisk inställning i identitetssystemet (Azure AD, Okta eller motsvarande) som tvingar fram minimikrav, istället för ett dokument som anställda förväntas läsa. Om du inte har det beviset, fyll då inte i "ja" på frågan om policyn tillämpas — endast på frågan om det finns en policy, om dokumentet faktiskt finns. Allt oftare anses en separat lösenordspolicy vara mindre relevant än frågan om flerfaktorsautentisering är obligatorisk: ett starkt lösenord med MFA väger i praktiken tyngre än ett långt lösenord utan MFA.

Där det står i normen och riktlinjen

ISO/IEC 27001 behandlar lösenordhantering under kontrollåtgärderna för åtkomstkontroll i bilaga A (autentiseringsinformation är en separat kontroll där); Direktiv (EU) 2022/2555 nämner åtkomstkontroll och autentisering som en av de tio åtgärderna i artikel 21 stycke 2, utan att föreskriva specifika lösenordsregler — direktivet lämnar den tekniska utformningen till organisationen. En checklista som frågar om "lösenordspolicy" översätter således vanligen en av dessa två källor till en konkret, testbar fråga.