co wpisuję w odpowiedź na pytanie o szyfrowanie danych w pamięci masowej i transporcie

Szyfrowanie w magazynie i podczas transportu to dwa pola wyboru, nie jedno

Wpisz osobno, czy dane w spoczynku (data-at-rest) są szyfrowane i czy dane w transporcie (data-in-transit) są szyfrowane — lista, która robi z tego jedno pytanie, zwykle chce jednak zobaczyć obie odpowiedzi w uzasadnieniu. Dla transportu TLS 1.2 lub nowszy to standardowe oczekiwanie; dla magazynu AES-256 na poziomie bazy danych lub pełne szyfrowanie dysku. Jeśli masz tylko TLS dla ruchu, ale brak szyfrowania w magazynie, wpisz wtedy "częściowo" lub "nie" w przypadku magazynu z krótkim uzasadnieniem — nie "tak", ponieważ strona transportu jest poprawna.

Jeśli nie masz tego udokumentowanego dla każdego systemu, ale wiesz, że Twój dostawca chmury (AWS, Azure, Google Cloud) robi to standardowo na poziomie infrastruktury, jest to ważna odpowiedź, pod warunkiem, że opiszesz to w ten sposób: szyfrowanie przez dostawcę, nie zarządzane przez Ciebie. Niektóre listy wyraźnie pytają o zarządzanie kluczami — kto zarządza kluczami szyfrowania, Ty czy dostawca — i to jest inna odpowiedź niż pytanie, czy szyfrowanie w ogóle występuje. W razie wątpliwości dotyczących dokładnie tego, co się pyta: sprawdź, czy pytanie jest częścią szerszego bloku dotyczącego polityki dotyczącej kryptografii i szyfrowania, ponieważ wtedy często pytane są również same zasady, a nie tylko technika. Jeśli nie masz udokumentowanej zasady, ale masz włączoną technikę, wskaż tę różnicę w uzasadnieniu zamiast udzielać ogólnikowej odpowiedzi.

Skąd się to bierze: artykuł 21 ust. 2 NIS2 i Załącznik A ISO 27001

Kryptografia i szyfrowanie są wymieniane jako osobny środek w artykule 21 ust. 2 Dyrektywy (UE) 2022/2555 (NIS2), obok środków dotyczących polityki dostępu i bezpieczeństwa sieci — dlatego klienci pytają o to osobno od na przykład polityki dostępu i zarządzania zasobami przedsiębiorstwa. W normie ISO/IEC 27001 kryptografia jest osobnym środkiem kontrolnym w Załączniku A, niezależnie od środków dotyczących ogólnie systemów informacyjnych. Ustawa o cyberbezpieczeństwie, polska transpozycja NIS2, wejdzie w życie, jak się spodziewamy, 15 sierpnia 2026 r.; do tego momentu sama dyrektywa jest punktem wyjścia dla tych, którzy już otrzymują ankiety na ten temat.