a lista de questões pergunta se os nossos dados estão encriptados armazenados como sei

Encriptação at rest e em trânsito são duas questões diferentes

A pergunta "os dados estão encriptados armazenados" refere-se especificamente a encriptação at rest — dados em disco, na base de dados, em cópias de segurança. Essa é uma caixa diferente da encriptação em trânsito (TLS no tráfego de dados), e muitos questionários perguntam por ambas separadamente, mesmo que a formulação as combine. Verifique portanto se o questionário espera uma resposta ou se na verdade verifica duas afirmações separadas. Para "sim" você deve conseguir demonstrar que se aplica aos sistemas que são relevantes para o serviço prestado àquele cliente — não que seja assim em toda a sua paisagem de TI.

A prova é normalmente uma de três coisas: uma exportação de configuração ou captura de tela do seu fornecedor de cloud (por exemplo, encriptação at rest ativada por padrão em AWS RDS ou Azure Storage), um extracto da sua Declaração ISO 27001 de Aplicabilidade se a empresa está certificada segundo a ISO 27001 existe, ou uma passagem da sua própria política de criptografia. Se não tem uma política separada, então "não, sem documento separado" é a resposta honesta — uma medida técnica sem política documentada por trás é um risco diferente da falta de encriptação, e você pode fazer essa distinção na sua explicação. A encriptação é frequentemente incluída num sentido mais amplo em política sobre criptografia e encriptação, portanto se essa pergunta constar na mesma lista, use a mesma prova para ambas.

Onde isto se enquadra nas dez medidas

Criptografia e encriptação estão listadas como medida de segurança separada no artigo 21.º, n.º 2 da Diretiva NIS2, juntamente com, entre outras, política de acesso e gestão de incidentes. Em ISO 27001 Anexo A, a encriptação está como medida de segurança separada dentro do domínio de criptografia — daí que auditores peçam provas separadas para isso, mesmo que a sua política geral de segurança já mencione o assunto. Se você próprio está sujeito à Lei de Cibersegurança, então este é um dos pontos sobre o qual você como entidade abrangida pela Diretiva NIS2 presta contas você mesmo, não apenas em relação aos clientes que o questionam.