chestionarul întreabă dacă datele sunt criptate la transmisie și stocaj

Criptare în repaus și în tranzit, două întrebări separate

Această întrebare se împarte de obicei în două, și tocmai de aceea este adesea răspunsă incorect: trimiterea criptată (în tranzit, de exemplu TLS la traficul de date) și stocarea criptată (at rest, de exemplu criptarea discului sau criptarea bazei de date) sunt două măsuri tehnice diferite. Un "da" la întreaga întrebare este corect doar dacă ambele sunt adevărate. Dacă aveți TLS 1.2 sau o versiune mai recentă pe toate conexiunile externe, dar nu aveți criptare la nivelul de stocare, atunci răspunsul este împărțit: da pentru tranzit, nu sau încă de făcut pentru repaus. Completați-l și în felul acesta împărțit dacă portalul clientului dumneavoastră are două câmpuri separate — și verificați asta, pentru că multe formate o fac, chiar și atunci când lista originală o pune ca o singură întrebare.

Dovada care se potrivește aici este politica de criptografie: un document în care sunt indicate algoritmii și protocoalele pe care le utilizează organizația, pentru ce categorii de date și cine decide asupra lor. Dacă nu ați documentat acest lucru, dar ați implementat-o din punct de vedere tehnic, răspunsul la întrebare în sine este adesea încă "da", dar lipsește susținerea pe care un auditor sau client vrea s-o vadă. Acesta este momentul să politica privind criptografia și criptarea îl întocmesc înainte de a bifa caseta, nu după. Fără acea politică, "da, criptăm" este o afirmație tehnică fără susținere pe hârtie.

De unde vine asta: articolul 21 alineatul 2 și Anexa A

Criptografia și criptarea sunt menționate ca o măsură separată în articolul 21 alineatul 2 al Directivei NIS2 (Directiva (UE) 2022/2555), dintre cele zece măsuri pe care o entitate trebuie să le ia minimum — deci nu este o chestiune secundară alături de analiza riscurilor sau răspunsul la incidente, ci o categorie obligatorie proprie. În ISO/IEC 27001, același subiect apare din nou ca o măsură de control separată în Anexa A, independentă de securitatea accesului mai largă. Cine lucrează la certificare face bine să o examineze din timp alături de întrebarea dacă întreprinderea este certificată ISO 27001, pentru că un auditor evaluează de obicei criptarea ca un punct de control separat, nu ca produs secundar al altceva. Legea olandeză de securitate cibernetică, care transpune aceste obligații NIS2, intră în vigoare pe 15 august 2026; până la acea dată, directiva însăși este punctul de aderență, nu legea națională.