kyselylomakkeessa kysytään, salataanko tiedot siirron ja säilytyksen aikana

Salaus levossa ja siirtää, kaksi erillistä kysymystä

Tämä kysymys jakautuu yleensä kahteen osaan, ja juuri siitä johtuu, että se usein vastataan väärin: salattu lähettäminen (siirron aikana, esimerkiksi TLS dataverkossa) ja salattu tallentaminen (levossa, esimerkiksi levyn salaus tai tietokannan salaus) ovat kaksi eri teknistä toimenpidettä. "Kyllä" koko kysymykseen on oikein vain, jos molemmat pitävät paikkansa. Jos sinulla on TLS 1.2 tai uudempi kaikissa ulkoisissa yhteyksissä mutta ei salausta tallennuskerroksessa, vastaus on jaettu: kyllä siirtoon, ei tai vielä tehtävää levossa. Täytä se myös jaettuina, jos asiakkaan portaalissa on kaksi erillistä kenttää — ja tarkista se, sillä monet formaatit tekevät sen, vaikka alkuperäinen lista esittäisi sen yhtenä kysymyksenä.

Tähän sopiva todiste on salausperiaate: asiakirja, jossa on kirjoitettuna, mitä algoritmeja ja protokollia yritys käyttää, mihin tietoluokkiin ja kuka niistä päättää. Jos et ole dokumentoinut sitä, mutta olet teknisesti ottanut sen käyttöön, vastaus kysymykseen itsessään on usein silti "kyllä", mutta puuttuu perustelut, jotka auditoija tai asiakas haluaa nähdä. Tämä on aika sille, kun käytäntö kryptografiasta ja salauksesta luoda ennen kuin merkitset ruudun, ei jälkeen. Ilman kyseistä periaatetta "kyllä, me salaamme" on tekninen väite ilman kirjallista tukea.

Missä tämä tulee: artikla 21 luku 2 ja Liite A

Kryptografia ja salaus on lueteltu erillisenä toimenpiteenä NIS2-direktiivin 21 artiklan 2 kohdassa (direktiivi (EU) 2022/2555), kymmenen toimenpiteen joukossa, jotka yhteisön on otettava käyttöön vähintään — se ei siis ole sivuseikka riskianalyysin tai poikkeamien hallintaan rinnalla, vaan oma pakollinen kategoria. ISO/IEC 27001 -standardissa sama aihe palaa omana hallintotoimenpiteenä liitteessä A, erillään laajemmasta pääsynhallinnasta. Joka työskenntelee sertifioinnin parissa, tekee hyvin ottaessaan tämän samalla kun onko yritys ISO 27001 -sertifioitusillä auditoija yleensä tarkastaa salauksen omana tarkistuspisteenä, ei jonkin muun sivutuotteena. Alankomaiden kyberturrvallisuuslaki, joka muuttaa nämä NIS2-velvoitteen, tulee voimaan 15. elokuuta 2026; siihen asti direktiivi itse on kiinnityspiste, ei kansallinen laki.