a kérdőív arra kérdez, titkosítottak-e az adatok az átvitel és a tárolás során

Titkosítás nyugalmi állapotban és tranzit közben, két külön kérdés

Ez a kérdés általában két részre bontható, és pontosan ezért válaszolnak rá sokszor helytelenül: az adatok titkosított küldése (tranzit közben, például a TLS az adatforgalom során) és az adatok titkosított tárolása (nyugalmi állapotban, például lemeztitkosítás vagy adatbázis-titkosítás) két különböző technikai intézkedés. Az egész kérdésre adott "igen" válasz csak akkor helyes, ha mindkettő teljesül. Ha van TLS 1.2 vagy újabb verzió az összes külső kapcsolaton, de nincs titkosítás a tárolási rétegben, akkor a válasz szétbontott: igen a tranzitra, nem vagy még tennivaló a nyugalmi állapothoz. Töltsd ki ezt is szétbontva, ha az ügyfél portálja két külön mezőt biztosít – és ellenőrizd ezt, mert sok formátum ezt teszi, még akkor is, ha az eredeti lista ezt egyetlen kérdésként sorolja fel.

Az ehhez tartozó bizonyíték a titkosítási szabályzat: egy dokumentum, amely meghatározza, hogy a szervezet mely algoritmusokat és protokollokat használja, mely adatkategóriákhoz, és ki dönt erről. Ha ezt nem dokumentáltad, de technikai szinten implementáltad, akkor a kérdésre adott válasz gyakran még mindig "igen", de hiányzik az a dokumentálás, amelyet egy auditor vagy ügyfél ehhez szeretne látni. Ez az a pillanat, amikor a titkosítás és enciphering szabályzatát fel kell állítani, mielőtt bejelölnéd a négyzetet, nem utána. Ez a szabályzat nélkül az "igen, titkosítunk" egy papírral nem alátámasztott technikai állítás.

Ezek forrása: a 21. cikk (2) bekezdése és az A melléklet

A kriptográfia és titkosítás az NIS2-irányelv (2022/2555/EU irányelv) 21. cikkének (2) bekezdésében külön intézkedésként szerepel az entitás által minimálisan megvalósítandó tíz intézkedés között — nem pedig mellékszempont a kockázatelemzés vagy az incidenskezelés mellett, hanem egy saját kötelező kategória. Az ISO/IEC 27001 szabványban ugyanez a téma egy saját irányítási intézkedésként jelenik meg az A. függelékben, a szélesebb körű hozzáférés-ellenőrzéstől függetlenül. Aki a tanúsítás felé halad, jól teszi, ha ezt egymás mellett tekinti az alábbiak mellett: a vállalkozás ISO 27001-tanúsítvánnyal rendelkezik-e, mivel a könyvvizsgáló a titkosítást általában külön ellenőrzési pontként értékeli, nem pedig valami más mellékhatásaként. A hollandiai Kibertámadás elleni törvény, amely ezen NIS2-kötelezettségeket átülteti, 2026. augusztus 15-én lép hatályba; addig a direktíva maga az kiindulópontunk, nem a nemzeti törvény.