τι συμπληρώνω στην ερώτηση σχετικά με την κρυπτογράφηση δεδομένων αποθήκευσης και μεταφοράς

Η κρυπτογράφηση στην αποθήκευση και στη μεταφορά είναι δύο ξεχωριστά πεδία, όχι ένα

Συμπληρώστε ξεχωριστά εάν τα δεδομένα αποθηκευμένα κρυπτογραφούνται και εάν τα δεδομένα σε μεταφορά κρυπτογραφούνται — ένας κατάλογος που κάνει μια ερώτηση από ένα, συνήθως θέλει και τις δύο απαντήσεις στη σημείωση. Για τη μεταφορά, TLS 1.2 ή ανώτερη είναι η τυπική προσδοκία· για την αποθήκευση AES-256 σε επίπεδο βάσης δεδομένων ή πλήρης κρυπτογράφηση δίσκου. Εάν έχετε μόνο TLS για την κυκλοφορία αλλά όχι κρυπτογράφηση στην αποθήκευση, συμπληρώστε «εν μέρει» ή «όχι» στην αποθήκευση με σύντομη σημείωση — όχι «ναι» επειδή η πλευρά της μεταφοράς είναι σωστή.

Εάν δεν το έχετε τεκμηριώσει ανά σύστημα αλλά γνωρίζετε ότι ο πάροχος cloud σας (AWS, Azure, Google Cloud) το κάνει τυπικά σε επίπεδο υποδομής, αυτό είναι μια έγκυρη απάντηση, υπό την προϋπόθεση ότι το περιγράψετε έτσι: κρυπτογράφηση από τον πάροχο, όχι αυτοδιαχείριση. Ορισμένοι κατάλογοι ρωτούν ρητά για διαχείριση κλειδιών — ποιος διαχειρίζεται τα κλειδιά κρυπτογράφησης, εσείς ή ο πάροχος — και αυτό είναι διαφορετική απάντηση από την ερώτηση εάν κρυπτογραφείται. Σε περίπτωση αμφιβολίας για το τι ακριβώς ζητείται: ελέγξτε εάν η ερώτηση αποτελεί μέρος ενός ευρύτερου τμήματος για πολιτική κρυπτογράφησης και κρυπτογραφίας, γιατί τότε συχνά ζητείται και η ίδια η πολιτική, όχι μόνο η τεχνική. Εάν δεν έχετε τεκμηριωμένη πολιτική αλλά έχετε τη τεχνική ενεργοποιημένη, αναφέρετε αυτή τη διαφορά στη σημείωση αντί να δώσετε στρογγυλεμένη απάντηση.

Πηγή: άρθρο 21 παράγραφος 2 NIS2 και Παράρτημα A του ISO 27001

Η κρυπτογράφηση και η κρυπτογραφία αναφέρονται ως ξεχωριστό μέτρο στο άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555 (NIS2), δίπλα σε μέτρα σχετικά με την πολιτική πρόσβασης και την ασφάλεια δικτύου — γι' αυτό οι πελάτες το ρωτούν ξεχωριστά από παραδείγματος χάριν την πολιτική πρόσβασης και τη διαχείριση των περιουσιακών στοιχείων της επιχείρησης. Στο ISO/IEC 27001, η κρυπτογράφηση αναφέρεται ως ξεχωριστό μέτρο ελέγχου στο Παράρτημα A, ξεχωριστά από τα μέτρα σχετικά με τα συστήματα πληροφοριών γενικά. Ο Νόμος Κυβερνοασφάλειας, η ολλανδική υλοποίηση του NIS2, αναμένεται να τεθεί σε ισχύ στις 15 Αυγούστου 2026· μέχρι τότε, η ίδια η οδηγία είναι το σημείο αναφοράς για όσους ήδη λαμβάνουν ερωτηματολόγια γι' αυτό.