a kérdőív azt kérdezi, adatainkat titkosítva tárolják-e, honnan tudom ezt

A titkosítás inaktív állapotban és átvitel során két különböző kérdés

A "vannak-e az adatok titkosítva tárolva" kérdés kifejezetten a titkosításra vonatkozik inaktív állapotban — adatok a lemezen, az adatbázisban, a biztonsági másolatokban. Ez egy másik kérdés, mint a titkosítás átvitel során (TLS az adatforgalomnál), és számos kérdőív mindkettőre külön-külön kérdez rá, még akkor is, ha a megfogalmazásuk összeolvasztja őket. Ezért ellenőrizze, hogy a kérdőív egy választ vár-e, vagy valójában két külön állítást igényel. Az "igen" válaszhoz bizonyítani kell, hogy az adott ügyfélnek nyújtott szolgáltatáshoz releváns rendszerekre vonatkozik — nem arra, hogy az egész IT-tájképben így van-e.

A bizonyíték általában három dolog közül egy: egy konfigurációs export vagy képernyőkép a felhőszolgáltatótól (például az AWS RDS-nél vagy Azure Storage-nál alapértelmezésben bekapcsolt titkosítás), az ISO 27001 Statement of Applicability kivonatából, ha a vállalkozás ISO 27001-tanúsított van a saját kriptográfiai szabályzatodnak egy részlete vagy másolata. Ha nincs külön szabályzatod, akkor az "nem, nincs külön dokumentum" a becsületes válasz — egy technikai intézkedés rögzített szabályzat nélkül más kockázat, mint a titkosítás teljes hiánya, és ezt a különbséget megjegyzésekben ki lehet fejteni. A titkosítást tágabb értelemben gyakran tekintik a(z) titkosítási és titkosítási politikarészeként, tehát ha ez a kérdés ugyanabban a listában szerepel, akkor ugyanazt a bizonyítékot használod mindkét esethez.

Ahol ez a tíz intézkadés közé tartozik

A kriptográfia és a titkosítás az NIS2-irányelv 21. cikk (2) bekezdésében külön intézkedésként szerepelnek az egyebek között a hozzáférési szabályzattal és az incidenslezárással szemben. Az ISO 27001 Annex A-ban a titkosítás a kriptográfiai domain-en belüli önálló irányítási intézkedésként szerepel — ezért kérik meg az auditorok külön bizonyítékot rá, még akkor is, ha általános biztonsági szabályzatod már említi ezt a témát. Ha a Kiberbiztonsági törvény hatálya alá tartozó entitásként tartozol az NIS2-irányelv alá, akkor ez az egyik pont, amelyről az NIS2-irányelv hatálya alá tartozó entitásként közvetlenül te számolsz be, nem csak az azt lekérdező ügyfeleknek.