il cliente chiede se i nostri dati sono crittografati durante l'archiviazione e la trasmissione

La crittografia durante l'archiviazione e il trasporto sono due punti da confermare separatamente

La domanda contiene spesso due sottodomande in una: crittografia "at rest" (archiviazione) e "in transit" (trasmissione). Rispondete a ognuna separatamente, perché può accadere che una sia gestita e l'altra no — ad esempio TLS su tutte le connessioni, ma nessuna crittografia del database sottostante. Specificate nella risposta quale delle due è stata compilata, invece di fornire un unico "sì" riassuntivo.

Ciò di cui avete bisogno per confermare: il protocollo utilizzato per il traffico dati (solitamente TLS 1.2 o superiore) e il metodo di archiviazione (solitamente AES-256 o equivalente). Se non è documentato in una politica crittografica, non c'è nulla da confermare — in quel caso "da determinare" è l'etichetta corretta, non una supposizione informata. Questo è coerente con la domanda sulla presenza di una politica relativa all'uso della crittografia e della crittografia dei dati: senza quella politica manca la fonte su cui questa risposta può basarsi. La crittografia è strettamente legata anche a chi ha accesso alle chiavi; se non c'è nulla di documentato in proposito, è un'indicazione che anche la politica di accesso non è ancora completa.

Perché questo torna di nuovo nell'articolo 21 comma 2 e nell'Allegato A

La crittografia dei dati è menzionata come misura separata nell'articolo 21 comma 2 della Direttiva NIS2, tra le dieci misure ivi elencate — quindi non è una "buona pratica" generale ma un punto di controllo specifico. In ISO/IEC 27001 la crittografia ritorna come categoria propria nell'Allegato A, distinta dal controllo dell'accesso e distinta dalla continuità. Quella separazione nelle fonti è proprio la ragione per cui i questionari dei clienti spesso pongono l'archiviazione e la trasmissione come due sotto-domande: seguono la struttura della norma sottostante.