η λίστα ερωτήσεων ρωτά αν τα δεδομένα κρυπτογραφούνται όταν στέλνονται και αποθηκεύονται

Κρυπτογραφία σε ηρεμία και κατά τη μεταφορά, δύο ξεχωριστές ερωτήσεις

Αυτή η ερώτηση συνήθως χωρίζεται σε δύο μέρη, και αυτός είναι ακριβώς ο λόγος για τον οποίο απαντάται συχνά λανθασμένα: κρυπτογραφημένη μεταφορά (in transit, για παράδειγμα TLS στη κυκλοφορία δεδομένων) και κρυπτογραφημένη αποθήκευση (at rest, για παράδειγμα κρυπτογράφηση δίσκου ή κρυπτογράφηση βάσης δεδομένων) είναι δύο διαφορετικά τεχνικά μέτρα. Ένα "ναι" σε ολόκληρη την ερώτηση είναι σωστό μόνο εάν και τα δύο ισχύουν. Εάν έχετε TLS 1.2 ή υψηλότερο σε όλες τις εξωτερικές συνδέσεις αλλά δεν υπάρχει κρυπτογράφηση στο επίπεδο αποθήκευσης, τότε η απάντηση χωρίζεται: ναι για τη μεταφορά, όχι ή ακόμη προς εκτέλεση για τη ηρεμία. Συμπληρώστε επίσης χωρισμένα εάν το portál του πελάτη έχει δύο ξεχωριστά πεδία — και ελέγξτε αυτό, διότι πολλές μορφές το κάνουν, ακόμη και αν ο αρχικός κατάλογος το παρουσιάζει ως μια μόνο ερώτηση.

Το αποδεικτικό στοιχείο που ταιριάζει εδώ είναι η πολιτική κρυπτογραφίας: ένα έγγραφο που δηλώνει ποιους αλγόριθμους και πρωτόκολλα χρησιμοποιεί ο οργανισμός, για ποιες κατηγορίες δεδομένων και ποιος αποφασίζει γι' αυτό. Εάν δεν το έχετε τεκμηριώσει αλλά το έχετε εφαρμόσει τεχνικά, τότε η απάντηση στην ερώτηση συχνά εξακολουθεί να είναι "ναι", αλλά λείπει η τεκμηρίωση που θέλει να δει ένας ελεγκτής ή ένας πελάτης. Αυτή είναι η στιγμή να την πολιτική σχετικά με την κρυπτογραφία και την κρυπτογράφηση δημιουργηθεί πριν ελέγξετε το πλαίσιο, όχι μετά. Χωρίς αυτή την πολιτική, το "ναι, κρυπτογραφούμε" είναι μια τεχνική δήλωση χωρίς γραπτή τεκμηρίωση.

Όπου προέρχεται αυτό: άρθρο 21 παράγραφος 2 και Παράρτημα A

Η κρυπτογραφία και η κρυπτογράφηση αναφέρονται ως ξεχωριστό μέτρο στο άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 (Οδηγία (ΕΕ) 2022/2555), μεταξύ των δέκα μέτρων που πρέπει να λάβει υποχρεωτικά μια οντότητα — δεν είναι επομένως δευτερεύον ζήτημα σε σχέση με την ανάλυση κινδύνου ή την ανταπόκριση σε περιστατικά, αλλά μια ξεχωριστή υποχρεωτική κατηγορία. Στο ISO/IEC 27001 το ίδιο θέμα επανεμφανίζεται ως ξεχωριστό μέτρο ελέγχου στο Παράρτημα A, ανεξάρτητα από την ευρύτερη ασφάλεια πρόσβασης. Όποιος εργάζεται για πιστοποίηση, κάνει καλά αν εξετάσει αυτό μαζί με η ερώτηση αν η επιχείρηση είναι ISO 27001 πιστοποιημένη, διότι ένας ελεγκτής συνήθως ελέγχει την κρυπτογράφηση ως ξεχωριστό σημείο ελέγχου, όχι ως παράγωγο κάτι άλλου. Ο Ολλανδικός Νόμος Κυβερνοασφάλειας, ο οποίος μεταφέρει αυτές τις υποχρεώσεις NIS2, θα τεθεί σε ισχύ στις 15 Αυγούστου 2026· μέχρι τότε η Οδηγία είναι το αναφορικό σημείο, όχι το εθνικό νομοσχέδιο.