küsimustik küsib, kas andmed edastatakse ja talletatakse krüptitud kujul

Krüpteerimine puhkeasendis ja ülekande ajal, kaks eraldi küsimust

See küsimus jaguneb tavaliselt kaheks osaks, ja just see on põhjus, miks sellele vastatakse sageli valesti: krüpteeritud saatmine (ülekande ajal, näiteks TLS andmevahenduse puhul) ja krüpteeritud salvestamine (puhkeasendis, näiteks ketta krüpteerimine või andmebaasi krüpteerimine) on kaks erinevat tehnilist meetodit. "Jah" kogu küsimusele on õige ainult siis, kui mõlemad on õiged. Kui teil on TLS 1.2 või uuem versioon kõigil välisühendustel, kuid salvestusslojil puudub krüpteerimine, siis on vastus jagatud: jah ülekande ajal, ei või veel teha puhkeasendis. Sisestage see ka jagatud kujul, kui kliendi portaalis on kaks eraldi välja — ja kontrollige seda, sest paljud vormingud seda teevad, isegi kui algne loend seda ühe küsimuse asemel esitab.

Sellega sobiv tõendusmaterjal on krüptopoliitika: dokument, milles kirjeldatakse, milliseid algoritme ja protokolle ettevõte kasutab, milliste andmekategooriate jaoks ja kes nende üle otsustab. Kui te pole seda dokumenteerinud, kuid teil on see tehniliselt rakendatud, siis on vastus küsimusele endale sageli siiski "jah", kuid puudub dokumentatsiooni tugi, mida auditor või klient soovib näha. See on aeg krüpteerimise ja kodeerimise poliitika koostada enne lahter märkimist, mitte pärast. Ilma selle poliitikataita on "jah, me krüpteerime" tehniline väide paberita.

Kust see pärineb: artikkel 21 lõige 2 ja Lisa A

Krüptogrrafia ja krüpteerimine on nimetatud eraldi meetmena NIS2-direktiivi (Direktiiv (EU) 2022/2555) artikli 21 lõikes 2 – kümne meetme hulgas, mida üksus peab vähemalt võtma – seega ei ole see kõrvalsaak riskianalüüsist või juhtumireaktsioonist, vaid iseseisev kohustuslik kategooria. ISO/IEC 27001 sisaldab sama teemat eraldi kontrolltoiminguna Lisas A, eraldi laiemast pääsukaitsest. Kes töötab sertifitseerimise nimel, teeb hästi, kui vaadab seda kohe kõrvuti kas ettevõte on ISO 27001-sertifikaadiga-ga, sest auditor kontrollib krüpteerimist tavaliselt eraldi kontrollpunktina, mitte midagi muud tootes. Hollandi Küberjulgeolekuseadus, mis teisendab neid NIS2-kohustusi, jõustub 15. augustil 2026. Kuni selleks ajaks on direktiiv ise kontaktpunkt, mitte riiklik seadus.