mit válaszoljak az adatok tárolása és szállítása során történő titkosításra vonatkozó kérdésre

A tárolás során végzett titkosítás és az átvitel során végzett titkosítás két jelölőnégyzet, nem egy

Külön adja meg, hogy az adatok nyugalmi állapotában (data-at-rest) titkosítva vannak-e és az átvitel során (data-in-transit) titkosítva vannak-e — az olyan lista, amely ebből egy kérdést csinál, általában mindkét választ szeretné látni az indoklásban. Az átvitelhez a TLS 1.2 vagy újabb a szokásos elvárás; a tároláshoz az AES-256 adatbázis szintjén vagy a teljes lemez titkosítása. Ha csak TLS-t használsz a forgalomhoz, de nincs titkosítás a tárolásban, akkor a tároláshoz az "részben" vagy "nem" lehetőséget válaszd egy rövid indoklással — nem "igen", mert az átviteli oldal rendben van.

Ha ezt nem rögzítetted rendszerenként, de tudod, hogy a felhőszolgáltatód (AWS, Azure, Google Cloud) ezt alapértelmezésben infra-szintű titkosítással végzi, az érvényes válasz, feltéve, hogy így jellemzed: a szolgáltató által végzett titkosítás, nem saját felügyelet alatt. Egyes listák kifejezetten a kulcskezelésre kérdeznek rá — ki felügyeli a titkosítási kulcsokat, te vagy a szolgáltató — és ez más válasz, mint az a kérdés, hogy van-e titkosítás. Ha bizonytalanságod van abban, hogy pontosan mit kérdezneknek: nézz meg, hogy a kérdés része-e egy tágabb blokknak kriptográfia és titkosítás szabályzata-ról, mert akkor gyakran magáról a szabályzatról is kérdeznek, nem csak a technikáról. Ha nincs dokumentált szabályzatod, de a technika be van kapcsolva, akkor a különbséget az indoklásban jelezd ahelyett, hogy félreérthető választ adnál.

Ennek eredete: a NIS2 21. cikk (2) bekezdése és az ISO 27001 A melléklete

A titkosítást és a kódolást az (EU) 2022/2555 irányelv (NIS2) 21. cikk (2) bekezdésében külön intézkedésként említik, a hozzáférési politika és a hálózatbiztonság intézkedéseit megelőzően — ezért az ügyfelek ezt például külön szokták felmérni. hozzáférési szabályzat és az üzleti eszközök kezeléseAz ISO/IEC 27001-ben a titkosítás az A melléklet külön irányítási intézkedéseként szerepel, az informatikai rendszerekre vonatkozó intézkedésektől elkülönítve. A Cyberbeveiligingswet, a NIS2 holland implementációja, várhatóan 2026. augusztus 15-én lép hatályba; addig az irányelv maga az alapvető referencia azok számára, akik már kérdőíveket kapnak erről.