Списъкът с въпроси пита дали данните се криптират при предаване и съхранение

Криптиране в покой и по пътя, два отделни въпроса

Този въпрос обикновено се разделя на две части, и точно затова често се отговаря неправилно: криптирано изпращане (по пътя, например TLS при трафик на данни) и криптирано съхранение (в покой, например криптиране на диск или криптиране на база данни) са две различни технически мерки. "Да" на целия въпрос е правилно само ако и двете са верни. Ако имаш TLS 1.2 или по-нова версия на всички външни връзки, но няма криптиране на слоя за съхранение, тогава отговорът е разделен: да за пътя, не или все още предстои за покой. Попълни и по този разделен начин, ако портала на клиента има две отделни полета — и провери това, защото много формати имат така, дори ако оригиналния списък го представя като един въпрос.

Доказателството, което отговаря на това, е политиката за криптография: документ, в който е посочено кои алгоритми и протоколи използва предприятието, за кои категории данни и кой решава по това. Ако не си това задокументирал, но е технически внедрено, тогава отговорът на самия въпрос често все още е "да", но липсва обосновката, която одитор или клиент иска да видят. Това е моментът да политиката за криптография и криптиране се установи преди да отметнеш полето, не след това. Без тази политика "да, криптираме" е технческо твърдение без документационна подкрепа.

Откъде идва това: член 21, параграф 2 и Приложение А

Криптография и криптиране са посочени като отделна мярка в член 21, параграф 2 на Директива NIS2 (Директива (EU) 2022/2555), сред десетте мерки, които дадена организация трябва минимално да предприеме — поради това не е второстепенно решение до анализ на риска или отговор на инциденти, а отделна задължителна категория. В ISO/IEC 27001 същата тема се появява отново като отделна контролна мярка в Приложение А, отделно от по-широката защита на достъпа. Това, който работи над сертификация, прави добре да разгледа това заедно с въпроса дали предприятието е сертифицирано по ISO 27001, защото одитор обикновено тества криптирането като отделна контролна точка, не като странични продукт на нещо друго. Холандската Кибербезопасност закон, който преобразува тези задължения от NIS2, влиза в сила на 15 август 2026 г.; до тогава директивата сама е отправната точка, не националния закон.