popis pitanja pita jesu li naši podaci šifrirani kako znam to

Enkripcija u mirovanju i pri prijenosu su dva različita pitanja

Pitanje "je li data šifrirana pri pohrani" se konkretno odnosi na enkripciju u mirovanju — podaci na disku, u bazi podataka, u sigurnosnim kopijama. To je drugačiji okvir od enkripcije pri prijenosu (TLS pri prometu podataka), i mnoge liste pitanja traže odgovor na oba odvojena, čak i ako je formulacija spaja. Provjeri je li lista pitanja očekuje jedan odgovor ili zapravo dva odvojena tvrdnja kojom se potvrđuje. Za "da" moraš moći dokazati da se to odnosi na sustave koji su relevantni za uslugu toj kupcu — ne da to vrijedi svugdje u tvojoj IT-krajoliku.

Dokaz je obično jedan od tri stvari: izvoz konfiguracije ili snimak zaslona iz tvog pružatelja oblačnih usluga (primjerice enkripcija u mirovanju standardno uključena kod AWS RDS ili Azure Storage), izvadak iz tvoje ISO 27001 Izjave o primjenjivosti ako je poduzeće ISO 27001 certificirano jest, ili dio iz tvoje vlastite politike kriptografije. Ako nemaš odvojena politiku, onda je "ne, nema zasebnog dokumenta" pošten odgovor — tehnička mjera bez uspostavljene politike iza nje je drugačiji rizik od nema enkripcije, i to razlikovanje možeš naznačiti u pojašnjenju. Šifriranje se u širem smislu često uključuje pod politike o kriptografiji i šifriranju, zato ako to pitanje postoji u istoj listi, koristi isti dokaz za oboje.

Gdje ovo spada pod deset mjera

Kriptografija i šifriranje spominju se kao odvojena mjera u članku 21. stavku 2. Direktive NIS2, pored ostaloga politike pristupa i rukovanja incidentima. U ISO 27001 Dodatku A enkripcija je zasebna mjera upravljanja unutar domene kriptografije — zato auditori traže odvojen dokaz za nju, čak i ako tvoja opća politika sigurnosti već pokriva taj predmet. Ako ti kao entiteta pod Direktiva NIS2 sam spadaš pod Zakon o kibernetskoj sigurnosti, onda je ovo jedan od točaka za koje daješ odgovor, ne samo prema kupcima koji to pitaju.