jautājumkopa jautā, vai dati tiek šifrēti, jo pārraidīti un glabāti

Šifrēšana miera stāvoklī un pārsūtīšanas laikā, divi atsevišķi jautājumi

Šis jautājums parasti sadalās divos punktos, un tas ir tieši iemesls, kāpēc tas bieži tiek atbildēts nepareizi: šifrēta pārsūtīšana (pārsūtīšanas laikā, piemēram, TLS datu trafika gadījumā) un šifrēta glabāšana (miera stāvoklī, piemēram, diska šifrēšana vai datu bāzes šifrēšana) ir divi dažādi tehniski pasākumi. "Jā" uz visu jautājumu ir pareizs tikai tad, ja ir patiesi abi. Ja jums ir TLS 1.2 vai jaunāka versija uz visiem ārējiem savienojumiem, bet nav šifrēšanas glabāšanas slānī, tad atbilde ir sadalīta: jā pārsūtīšanai, nē vai vēl jāveic miera stāvoklim. Aizpildiet to arī šādi sadalīti, ja klienta portāls ir divi atsevišķi lauki — un pārbaudiet to, jo daudzi formāti to dara, pat ja oriģinālajā sarakstā tas ir kā viens jautājums.

Dokumenti, kas derīgi šeit, ir kriptogrāfijas politika: dokuments, kurā ir norādīti, kādus algoritmus un protokolus uzņēmums izmanto, kādu datu kategoriju gadījumā un kas par to lemj. Ja jums tas nav dokumentēts, bet tehniski ir ieviestas, tad atbilde uz pašu jautājumu bieži vēl ir "jā", bet trūkst pamatojuma, ko revidenents vai klients vēlas redzēt. Tas ir moments, kad politiku par kriptogrāfiju un šifrēšanu jāizstrādā pirms izvēles rūtiņas atzīmēšanas, nevis pēc tam. Bez šīs politikas "jā, mēs šifrējam" ir tehnisks paziņojums bez dokumenta atbalsta.

No kurienes tas nāk: 21. pants, 2. punkts un Pielikums A

Kriptografie un šifrēšana ir minētas kā atsevišķs pasākums Direktīvas NIS2 (Direktīva (ES) 2022/2555) 21. panta 2. punktā, starp desmit pasākumiem, kurus entītei jāveic minimāli — tāpēc tas nav blakus jautājums riska analīzei vai incidentu reaģēšanai, bet gan atsevišķa obligāta kategorija. ISO/IEC 27001 standarā tas pats jautājums parādās kā atsevišķs kontroles pasākums A pielikumā, neatkarīgi no plašākas piekļuves aizsardzības. Kas strādā pie sertifikācijas, var ieteikt to aplūkot blakus „ jautājumu, vai uzņēmums ir ISO 27001 sertificēts, jo auditors šifrēšanu parasti pārbauda kā atsevišķu kontroles punktu, nevis kā cita jautājuma blakusproduktu. Nīderlandes Kiberbezpecu­rības likums, kas pārvērš šos NIS2 pienākumus, stājas spēkā 2026. gada 15. augustā; līdz tam direkt­īva pati ir atsauces punkts, nevis nacionālais likums.