kyselylomake kysyy, onko tietomme salattu tallennettaessa, mistä tietää sen

Salaus levossa ja siirtymisen aikana ovat kaksi eri kysymystä

Kysymys "onko data salattu tallennuksessa" koskee erityisesti salausta levossa levossa — data levyllä, tietokannassa, varmuuskopioissa. Se on eri ruutu kuin salaus siirtymisen aikana siirtymisen aikana (TLS dataverkossa), ja monet kyselylomakkeet kysyvät molemmista erikseen, vaikka muotoilu yhdistäisikin ne. Tarkista siis, odottaako kyselylomake yhtä vastausta vai todellisuudessa kahta erillistä väitettä. "Kyllä"-vastaus edellyttää, että voit osoittaa sen koskevan palveluun relevantteja järjestelmiä kyseiselle asiakkaalle — ei sitä, että se olisi kaikkialla IT-maisemaasi.

Todiste on yleensä yksi kolmesta: konfiguraatioviennin tai kuvakaappauksen pilvipalveluntarjoajalta (esimerkiksi salaus levossa oletuksena päällä AWS RDS:ssä tai Azure Storagessa), katkelma ISO 27001 Statement of Applicability -dokumentista organisaatio on ISO 27001 -sertifioitu on, tai katkelma omasta salausperiaatteestasi. Jos sinulla ei ole erillistä periaatetta, niin "ei, ei erillistä asiakirjaa" on rehellinen vastaus — tekninen toimenpide ilman dokumentoitua periaatetta takana on eri riski kuin ei salausta lainkaan, ja saat tehdä tämän erottelun perustelussa. Salaus ymmärretään laajemmassa mielessä usein sisältyväksi salaukseen ja salauseen liittyvästä politiikasta, joten jos sama kysymys esiintyy samalla listalla, käytät samaa todistetta molemmille.

Missä tämä kuuluu kymmenen toimenpiteen alle

Kryptografia ja salaus mainitaan erillisinä toimenpiteinä artiklan 21 luvun 2 NIS2-direktiivissä muiden muassa pääsynvalvontakäytäntöjen ja poikkeamien käsittelyn rinnalla. ISO 27001 liitteessä A salaus on erillinen hallintaote kryptografiaverkkotunnuksessa — siksi audinoitsijat pyytävät sille erillistä todistetta, vaikka yleinen turvallisuusperiaatteesi mainitsisikin aiheen. Jos kuulut itse Kyberturvallisuuslakiin, tämä on yksi niistä kohdista, joista sinä NIS2-direktiivin alainen yhteisö itse olet vastuussa, eivät vain asiakkaat, jotka sitä kysyvät.