il questionario chiede se i laptop sono crittografati, come me ne assicuro

La crittografia del disco è parte della politica di crittografia, non una semplice casella di controllo

La domanda sui laptop crittografati è una sottoquestione del più ampio politica sulla crittografia e la crittografiaAssicurarsi che un laptop sia effettivamente crittografato significa in pratica: BitLocker (Windows) o FileVault (macOS) è imposto centralmente tramite la politica MDM o Intune, non come impostazione separata che un utente può attivare o disattivare autonomamente. La prova più rilevante qui è un'esportazione da quell'ambiente di gestione con lo stato di crittografia per dispositivo — non uno screenshot di un singolo laptop. Se non hai quell'esportazione, allora "no" o "sconosciuto" è la risposta onesta; un documento di politica IT separato senza dati sui dispositivi non soddisfa la domanda.

Presta attenzione alla distinzione che molti elenchi fanno tra "policy" e "enforced": una regola di policy che afferma che la crittografia è obbligatoria è diversa da un controllo tecnico che blocca i dispositivi non crittografati al momento dell'accesso. Se il tuo cliente chiede specificamente di "full disk encryption", una cartella contenitore crittografata o solo una password del sistema operativo non contano. Questo riguarda anche il politica di accesso e gestione dei beni aziendali: senza un elenco attuale dei laptop disponibili (gestione delle risorse), non puoi dimostrare che sono tutti crittografati — puoi solo dire che la politica esiste, non che la copertura sia del cento per cento.

Dove ritorna in NIS2 e ISO 27001

La crittografia è citata come misura separata nell'articolo 21 paragrafo 2 della direttiva NIS2, sotto la politica per l'uso della crittografia e, ove pertinente, la crittografia — una delle dieci misure elencate dalla direttiva. In ISO/IEC 27001 rientra nelle misure di controllo nell'Allegato A che affrontano specificamente i controlli crittografici. Entrambi i quadri richiedono una politica stabilita più l'applicazione dimostrabile di essa; il solo documento di policy non è quindi sufficiente come prova, l'imposizione tecnica conta equamente.