la lista di domande chiede se i nostri dati sono crittografati quando archiviati come faccio a saperlo

La crittografia at rest e in transit sono due domande diverse

La domanda "i dati sono archiviati crittografati" riguarda specificamente la crittografia at rest — dati su disco, nel database, nei backup. È una casella diversa dalla crittografia in transit (TLS nel traffico dati), e molti questionari chiedono di entrambi separatamente, anche se la formulazione li unisce. Verifica quindi se il questionario si aspetta una risposta o effettivamente due affermazioni separate da verificare. Per "sì" devi poter dimostrare che vale per i sistemi rilevanti per il servizio a quel cliente — non che sia così ovunque nel tuo panorama IT.

La prova è di solito una di tre cose: un'esportazione di configurazione o screenshot dal tuo provider cloud (ad esempio la crittografia at rest è attiva per impostazione predefinita in AWS RDS o Azure Storage), un estratto dalla tua Dichiarazione di Applicabilità ISO 27001 se l'azienda è certificata ISO 27001 è, oppure un passaggio dalla tua politica di crittografia. Se non hai una politica separata, allora "no, nessun documento specifico" è la risposta onesta — una misura tecnica senza una politica documentata dietro è un rischio diverso da nessuna crittografia, e puoi fare questa distinzione nella nota esplicativa. La crittografia nel senso più ampio è spesso inclusa sotto politica sulla crittografia e la crittografia, quindi se quella domanda è nello stesso questionario, usi la stessa prova per entrambe.

Dove questo rientra nelle dieci misure

La crittografia è menzionata come misura separata nell'articolo 21 paragrafo 2 della direttiva NIS2, insieme a misure quali il controllo degli accessi e la gestione degli incidenti. In ISO 27001 Annex A la crittografia è una misura di controllo separata all'interno del dominio crittografico — ecco perché i revisori chiedono prove separate per essa, anche se la tua politica generale di sicurezza già affronta l'argomento. Se ricadi sotto la Legge sulla sicurezza informatica, allora questo è uno dei punti su cui in qualità di entità secondo la direttiva NIS2 rispondi personalmente, non solo verso i clienti che lo richiedono.