a kérdőív azt kérdezi, hogy a laptopok titkosítottak-e, hogyan tudom ezt biztosan

A lemeztitkosítás a titkosításpolitika része, nem egy önálló jelölőnégyzet

A titkosított laptopokra vonatkozó kérdés a szélesebb körű kérdés alrészeként jelenik meg titkosítási és titkosítási politika. Gyakorlatban annak biztosan, hogy egy laptop titkosított, az azt jelenti: a BitLocker (Windows) vagy a FileVault (macOS) központilag kényszerítve van az MDM- vagy Intune-politikán keresztül, nem pedig önálló beállításként, amelyet a felhasználó egyedül kapcsolhat be vagy ki. Az ebben az esetben legtöbbet számító bizonyíték az adott felügyeleti környezetből exportált lista az eszközönkénti titkosítási állapottal — nem egyetlen laptop képernyőképe. Ha nincs meg ez az export, akkor az "nem" vagy "ismeretlen" a becsületes válasz; egy önálló IT-politikai dokumentum eszközadatok nélkül nem fed le a kérdést.

Ügyeljen az olyan listák által jellemzően megkülönböztetett különbségre, hogy "policy" és "enforced": a titkosítást kötelezővé tevő politikai szabály különbözik az olyan technikai ellenőrzéstől, amely megakadályozza a titkosítás nélküli eszközöket a bejelentkezésben. Ha az ügyfél kifejezetten "teljes lemeztitkosítást" kér, az nem számít a titkosított tárolóbevonatra vagy csak az operációs rendszer jelszavára. Ez érinti a hozzáférési politikát és az üzleti eszközök kezelését is: a jelenlegi áttekintés nélkül arról, hogy mely laptopok vannak (eszközkezelés), nem tudhatod bizonyítani, hogy mindegyik titkosított — csak azt mondhatod, hogy a politika létezik, nem azt, hogy a lefedettség száz százalékos.

Ahol ez visszatér a NIS2-ben és az ISO 27001-ben

A titkosítás külön intézkedésként szerepel a NIS2-irányelv 21. cikk 2. bekezdésében, a titkosítás használatára vonatkozó politika alatt, és ahol releváns, a titkosítás alatt — az irányelv által felsorolt tíz intézkedés egyike. Az ISO/IEC 27001-ben ez a titkosítási ellenőrzésekre vonatkozó Annex A-ban szereplő felügyeleti intézkedések alá tartozik. Mindkét keretrendszer egy megállapított politikát plus annak kimutatható alkalmazását kéri; így csak a politikai dokumentum nem elegendő bizonyítékként, a technikai kényszerítés ugyanolyan súlyú.