klausimynas klausia, ar duomenys šifruojami siunčiami ir laikomi

Šifravimas ramybės metu ir tranzito metu — dvi atskiros klausimai

Šis klausimas dažniausiai skyla į dvi dalis, ir tai yra tiksliai priežastis, kodėl jis dažnai atsakomas neteisingai: šifruotas siuntimas (tranzito metu, pavyzdžiui, TLS duomenų srautui) ir šifruoti laikymas (ramybės metu, pavyzdžiui, disko šifravimas arba duomenų bazės šifravimas) yra dvi skirtingos techninės priemonės. "Taip" į visą klausimą tinka tik jei abi yra teisingos. Jei turite TLS 1.2 ar aukštesnę versiją visuose išoriniuose ryšiuose, bet nėra šifravimo saugojimo sluoksnyje, atsakymas yra padalintas: taip tranzitui, ne arba dar reikia daryti likusiam. Pildykite tai taip pat padalintai, jei kliento portalas turi du atskirus laukus — ir tai patikrinkite, nes daugelis formatų tai daro, net jei originali lista tai statė kaip vieną klausimą.

Šiam klausimui atitinkantis įrodymas yra kriptografijos politika: dokumentas, kuriame nurodyta, kuriuos algoritmus ir protokolus naudoja įmonė, kokiems duomenų kategorijoms ir kas jais nusprendžia. Jei to nesi užfiksavęs, bet techniškai tai įgyvendinai, atsakymas į patį klausimą dažnai gali būti "taip", tačiau trūksta pagrindo, kurį auditorius arba klientas norėtų pamatyti. Tai yra laikas politiką dėl kriptografijos ir šifravimo nustatyti prieš nei pažymėsi langelį, o ne po to. Be tos politikos "taip, mes šifruojame" yra techninis teiginys be dokumentinės paramos.

Kur tai gaunasi: 21 straipsnio 2 dalis ir A priedas

Kriptografija ir šifravimas yra išvardinti kaip atskira priemonė NIS2 direktyvos 21 straipsnio 2 dalyje (Direktyva (ES) 2022/2555), tarp dešimties priemonių, kurias subjektas turi imtis mažiausiai — tai nėra šalutinis dalykas šalia rizikos analizės ar incidento reagavimo, o atskira privaloma kategorija. ISO/IEC 27001 tas pats klausimas grįžta kaip atskira valdymo priemonė A prieduose, atskirai nuo plačesnės prieigos kontrolės. Kas dirba siekdamas sertifikavimo, turėtų tai peržiūrėti kartu su kai klausiama, ar organizacija turi ISO 27001 sertifikatąnes auditorius šifravimą paprastai tikrina kaip atskiras kontrolės punktas, ne kaip kito dalį. Nyderlandų Kibernetinio saugumo įstatymas, kuris šias NIS2 pareigas perkelioja, įsigalioja 2026 m. rugpjūčio 15 d.; iki to momento direktyva pati yra atskaitos taškas, o ne nacionalinis įstatymas.