klients vaicā, vai mūsu dati tiek šifrēti glabātos un nosūtītos

Šifrēšana glabāšanas laikā un transportēšanas laikā ir divi atsevišķi jāapstiprina punkti

Jautājumā bieži vien ir divi apakšjautājumi vienā: šifrēšana "at rest" (glabāšana) un "in transit" (nosūtīšana). Atbildiet uz tiem atsevišķi, jo gadās, ka viens ir sakārtots, bet otrs nav — piemēram, TLS uz visiem savienojumiem, bet nav datu bāzes šifrēšanas. Sakiet atbildē konkrēti, kurš no diviem ir aizpildīts, nevis viena apkopojošā "jā".

Kas jums nepieciešams, lai apstiprinājumi: izmantotais protokols datu pārraidei (parasti TLS 1.2 vai jaunāks) un glabāšanas metode (parasti AES-256 vai līdzvērtīga). Ja tas nav noteikts kriptografijas politikā, nav ko apstiprinājumiem — tad "vēl jānosaka" ir pareizais marķējums, nevis minējums. Tas saskan ar jautājumu vai pastāv politika attiecībā uz kriptografijas un šifrēšanas izmantošanu: bez šīs politikas trūkst avota, uz kura var balstīties šī atbilde. Šifrēšana ir saistīta arī ar to, kam ir piekļuve atslēgām; ja par to nav neko noteikts, tas ir norāde, ka arī piekļuves politika vēl nav pabeigta.

Kāpēc tas atsevišķi parādās 21. panta 2. punktā un A pielikumā

Datu šifrēšana ir minēta kā atsevišķs pasākums 21. panta 2. punktā NIS2 direktīvā, starp desmit tur uzskaitītajiem pasākumiem — tāpēc tas nav vispārēja "labā prakse", bet gan specifisks pārbaudes punkts. ISO/IEC 27001 standartā kriptografija ir atgrieza kā atsevišķa kategorija A pielikumā, nošķirta no piekļuves kontroles un nošķirta no nepārtrauktības. Šis sadalījums avotos ir precīzi tas iemesls, kāpēc klientu anketas par glabāšanu un nosūtīšanu bieži ir izvirzītas kā divas apakšjautājumi: tās seko pamatā esošā standarta struktūrai.