lista pytań pyta, czy nasze dane są szyfrowane podczas przechowywania, skąd to wiem

Szyfrowanie w spoczynku i w tranzycie to dwa różne pytania

Pytanie "czy dane są szyfrowane w spoczynku" dotyczy konkretnie szyfrowania w spoczynku — dane na dysku, w bazie danych, w kopiach zapasowych. To inne pole niż szyfrowanie w tranzycie (TLS przy przesyłaniu danych) i wiele list kontrolnych pyta o oba osobno, nawet jeśli sformułowanie je łączy. Sprawdź więc, czy lista oczekuje jednej odpowiedzi, czy faktycznie weryfikuje dwa osobne twierdzenia. Aby odpowiedzieć "tak", musisz móc wykazać, że dotyczy to systemów istotnych dla usługi świadczonej temu klientowi — nie że tak jest wszędzie w Twoim krajobrazie IT.

Dowód to zwykle jedno z trzech: eksport konfiguracji lub zrzut ekranu od dostawcy usług w chmurze (na przykład szyfrowanie w spoczynku domyślnie włączone w AWS RDS lub Azure Storage), wyciąg z Twojej Deklaracji Stosowania ISO 27001, jeśli organizacja jest certyfikowana ISO 27001 jest, lub fragment z Twojej własnej polityki kryptografii. Jeśli nie masz osobnego dokumentu, to "nie, nie ma osobnego dokumentu" to uczciwa odpowiedź — techniczna miara bez udokumentowanej polityki to inne ryzyko niż brak szyfrowania i możesz to rozróżnienie wyjaśnić w uzasadnieniu. Szyfrowanie w szerszym sensie często jest uwzględniane w ramach polityki dotyczącej kryptografii i szyfrowania, więc jeśli to pytanie pojawia się na tej samej liście, używasz tego samego dowodu dla obu.

Gdzie to należy do dziesięciu środków

Kryptografia i szyfrowanie są wymienione jako osobna miara w artykule 21 ust. 2 dyrektywy NIS2, obok m.in. polityki dostępu i obsługi incydentów. W ISO 27001 Załącznik A szyfrowanie jest wymienione jako osobna miara kontrolna w domenie kryptografii — dlatego audytor oczekuje dla niego osobnego dowodu, nawet jeśli Twoja ogólna polityka bezpieczeństwa już porusza ten temat. Jeśli sam podlegasz Ustawie o bezpieczeństwie cybernetycznym, to jeden z punktów, na którym jako jednostka podlegająca dyrektywie NIS2 sam się rozliczasz, nie tylko wobec klientów, którzy to pytają.