ką rašau atsakyme į klausimą apie duomenų šifravimą saugojimo ir perdavimo metu

Šifravimas saugojimo ir transporto metu yra du žymėjimai, o ne vienas

Atskirai nurodykite, ar duomenys ramybės būsenoje (data-at-rest) šifruojami ir ar duomenys tranzito metu (data-in-transit) šifruojami — sąrašas, kuris iš vieno klausimo daro vieną, paprastai vis tiek nori matyti abu atsakymus paaiškinime. Transportui TLS 1.2 ar naujesnė versija yra standartinis lūkestis; saugojimui AES-256 duomenų bazės lygmeniu arba visas disko šifravimas. Jei turite tik TLS trafiko apsaugai, bet nėra saugojimo šifravimo, saugojimo lauke įrašykite "iš dalies" arba "ne" su trumpu paaiškinumu — ne "taip", nes transporto pusė yra teisinga.

Jei to nesi užfiksavęs sistemoje, tačiau žinai, kad jūsų debesų paslaugų teikėjas (AWS, Azure, Google Cloud) tai standartiškai daro infrastruktūros lygiu, tai yra galiamas atsakymas, jei tai aprašai taip: šifravimas teikėjo atliktas, ne savarankiškai valdomas. Kai kurie sąrašai aiškiai klausia apie raktų valdymą — kas valdo šifravimo raktus, jūs ar teikėjas — ir tai yra kitoks atsakymas nei klausimas, ar šifravimas atliekamas. Jei kyla klausimas, kas tiksliai klausiama: patikrinkite, ar klausimas yra platesnio bloko dalis apie kriptografijos ir šifravimo politiką, nes tada dažnai klausiama apie pačią politiką, o ne tik apie techniką. Jei neturi užfiksuotos politikos, tačiau turi įjungtą techniką, tą skirtumą nurodykite paaiškinimuose, o ne atsakykite aplaidžiai.

Iš kur tai kilusi: straipsnis 21 dalies 2 NIS2 ir ISO 27001 Priedas A

Kriptografija ir šifravimas paminėti kaip atskiras priemonės straipsnyje 21 dalies 2 Direktyvoje (ES) 2022/2555 (NIS2), šalia priemonių dėl prieigos politikos ir tinklo saugumo — todėl klientai tai klausdami atskirai nuo pavyzdžiui Zugriffskontrollrichtlinie und Verwaltung von Unternehmensressourcen. ISO/IEC 27001 standarte kriptografija nurodyta kaip atskira kontrolės priemonė Priede A, atskyroje nuo priemonių, susijusių su informacinėmis sistemomis apskritai. Kibernetinio saugumo įstatymas, Direktyvos NIS2 transponavimas į Lietuvos nacionalinę teisę, turėtų įsigalioti 2026 m. rugpjūčio 15 d.; iki to momento pati direktyva yra atskaitos taškas tiems, kurie jau gauna klausimynus šiuo klausimu.