spørgeskemaet spørger, om vores data er krypteret lagret, hvordan ved jeg det

Kryptering under opbevaring og under transmission er to forskellige spørgsmål

Spørgsmålet "er data krypteret gemt" går specifikt på kryptering under opbevaring under opbevaring — data på disk, i databasen, i sikkerhedskopier. Det er et andet felt end kryptering under transmission (TLS ved datatrafikken), og mange spørgsmålsformularer spørger om begge separat, selv hvis formuleringen slår dem sammen. Kontroller derfor, om spørgsmålsformularen forventer ét svar eller faktisk kontrollerer to adskilte påstande. For "ja" skal du kunne påvise, at det gælder for de systemer, der er relevante for tjenesten til den pågældende kunde — ikke at det er sådan overalt i dit it-landskab.

Bevis er normalt en af tre ting: en konfigurationseksport eller screenshot fra din cloudprovider (for eksempel kryptering under opbevaring som standard aktiveret ved AWS RDS eller Azure Storage), et uddrag fra dit ISO 27001 Statement of Applicability hvis virksomheden er ISO 27001-certificeret er, eller et afsnit fra din egen krypteringspolitik. Hvis du ikke har en separat politik, så er "nej, intet separat dokument" det ehrlige svar — en teknisk foranstaltning uden dokumenteret politik bag sig er en anden risiko end ingen kryptering, og du må gøre skel mellem dem i begrundelsen. Kryptering optages i bredere forstand ofte under politik om kryptering og kryptering, så hvis det spørgsmål står på samme liste, bruger du samme bevis for begge.

Hvor det falder under de ti foranstaltninger

Kryptografi og kryptering er nævnt som separate foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet, sammen med blandt andet adgangskontrol og håndtering af hændelser. I ISO 27001 Annex A er kryptering en separat ledelsesmåling inden for kryptografidomænet — derfor spørger revisorer efter separat bevis for det, selv hvis din generelle sikkerhedspolitik allerede nævner emnet. Hvis du selv er omfattet af cybersikkerhedsloven, er dette et af de punkter, hvor du som enhed omfattet af NIS2-direktivet selv aflægger regnskab for det, ikke blot over for kunder, der spørger efter det.