il-questionnariu jistaqsi jekk id-data tiġi encrypted meta tibgħat u meta tiġi maħżuna

Encryption fil-mir u fit-tranzit, żewġ mistoqsijiet separati

Din il-mistoqsija ħafna drabi tinqasam fi tnejn, u dak preċiżament hu għaliex ħafna drabi tingħata risposta ħażina: mibgħuta encrypted (fit-tranzit, per eżempju TLS għall-fluss ta' data) u maħżuna encrypted (at rest, per eżempju encryption tal-ħamrieq jew database-encryption) huma żewġ miżuri tekniċi differenti. "Iva" fuq il-mistoqsija sħiħa hija korretta biss jekk it-tnejn ikunu korretti. Jekk għandek TLS 1.2 jew aktar għoli fuq il-konnessjonijiet esterni kollha imma l-ebda encryption fil-layer tal-ħażna, allura r-risposta hija diviza: iva għat-tranzit, le jew għad għall-maħżunati. Imla wkoll b'dan il-mod diviz jekk il-portal tal-klijent għandu żewġ fields separati — u ċċekja dak, għax ħafna formati għandu, anki jekk l-elenk oriġinali jaqdu bħala mistoqsija waħda.

Il-prova li tqabbel ma' din hija l-politika tal-kriptografija: dokument li fih jiġi spjegat liema algoritmi u protokolli l-impresa tuża, għal liema kategoriji ta' data, u min jiddeċiedi dwar dawn. Jekk ma ħalqitx dan immaħżun imma implementat teknikament, allura r-risposta għall-mistoqsija stess ħaffa drabi tkun "iva", imma l-evidenza li l-auditor jew klijent irid jara ma ħux. Dan hu l-mument biex il-politika dwar il-kriptografija u l-encryption tistabbilixxi qabel ma tikkikka l-kaxxa, mhux wara. Bħala "iva, nencrypt" mingħajr dik il-politika hu dikjarazzjoni teknika mingħajr appoġġ dokumentat.

Fejn joriġina dan: artiklu 21 paragrafu 2 u Anness A

Il-kriptografija u l-encryption jinsemmew bħala miżura separata fl-artikolu 21 subsezzjoni 2 tad-Direttiva NIS2 (Direttiva (UE) 2022/2555), fost id-għaxar miżuri li entità għandha għal-minim tieħu — mhux inqas minn każ ħarba bħal analiżi tal-riskji jew rispons għall-inċidenti, imma kategorija propja obbligatorja. F'ISO/IEC 27001 l-istess suġġett jirrevivixxi bħala miżura ta' kontroll separata fl-Annex A, separata mill-protezzjoni tal-aċċess aktar ċatta. Min jaħdem għal-ċertifikazzjoni, jagħmel tajjeb li jaraw dan baxxa ħamsa ma' il-mistoqsija jekk l-intrapriża ISO 27001-ċertifikatagħax l-auditor tipikament jevalwa l-encryption bħala punt ta' kontroll separata, mhux bħala biċċa ta' xi ħaġa oħra. Il-Liġi tal-Cybersecurity Nederlandese, li tmibdel din in-NIS2 tal-obbligi, tidħol fis-serje fl-15 ta' Awwissu 2026; sa dak il-data d-direttiva stessa hija l-punt ta' konnessjoni, mhux il-liġi nazzjonali.