kunde spørger, om vores data er krypteret under lagring og transmission

Kryptering under lagring og transport er to separat punkter, der skal bekræftes

Spørgsmålet indeholder ofte to delspørgsmål i én: kryptering "at rest" (lagring) og "in transit" (transmission). Besvar dem hver for sig, da det forekommer, at det ene er reguleret og det andet ikke — for eksempel TLS på alle forbindelser, men ingen kryptering af den underliggende database. Angiv konkret i svaret, hvilken af de to der er udfyldt, i stedet for ét sammenfattende "ja".

Hvad du har brug for for at bekræfte det: den protokol, der bruges til datatrafik (normalt TLS 1.2 eller nyere) og metoden til lagring (normalt AES-256 eller tilsvarende). Hvis dette ikke er fastsat i en kryptografipolitik, er der ingenting at bekræfte — så er "endnu ikke fastsat" det korrekte mærkat, ikke et kvalificeret gæt. Dette stemmer overens med spørgsmålet om der er politik for brugen af kryptografi og kryptering: uden denne politik mangler kilden, som dette svar kan bygge på. Kryptering er også forbundet med, hvem der har adgang til nøglerne; hvis der ikke er fastsat noget om det, er det en indikation på, at adgangspolitikken heller ikke er fuldstændig.

Hvorfor dette kommer op igen i artikel 21, stk. 2 og Bilag A

Datakryptering nævnes som en separat foranstaltning i artikel 21, stk. 2 i NIS2-direktivet, blandt de ti foranstaltninger, der er oplistet der — dette er således ikke en generel "god praksis", men et specifikt kontrolpunkt. I ISO/IEC 27001 optræder kryptografi igen som egen kategori i Bilag A, adskilt fra adgangskontrol og adskilt fra kontinuitet. Denne opdeling i kilderne er præcis grunden til, at kundesporeskemaer ofte stiller lagring og transmission som to underspørgsmål: de følger strukturen i den underliggende norm.