client întreabă dacă datele noastre sunt criptate în stocare și transmisie

Criptarea în timpul stocării și transportului sunt două puncte separate care trebuie confirmate

Întrebarea conține adesea două sub-întrebări într-una singură: criptare "at rest" (stocare) și "in transit" (transmisie). Răspundeți-le separat, deoarece se întâmplă adesea ca una să fie reglementată și cealaltă nu — de exemplu TLS pe toate conexiunile, dar fără criptare a bazei de date subiacente. Spuneți în răspuns în mod concret care dintre cele două este completată, în loc de un singur "da" de rezumare.

Ce aveți nevoie pentru a confirma: protocolul utilizat pentru traficul de date (de obicei TLS 1.2 sau mai recent) și metoda de stocare (de obicei AES-256 sau echivalent). Dacă aceasta nu este stabilită într-o politică de criptografie, nu există nimic de confirmat — atunci "de stabilit" este eticheta corectă, nu o presupunere informată. Aceasta se aliniază cu întrebarea dacă există o politică privind utilizarea criptografiei și criptării: fără acea politică lipsește sursa pe care acest răspuns poate fi sprijinit. Criptarea este de asemenea legată de cine are acces la chei; dacă nu este nimic stabilit despre aceasta, este o indicație că și politica de acces nu este încă completă.

De ce aceasta apare separat în articolul 21 alineatul 2 și Anexa A

Criptarea datelor este menționată ca măsură separată în articolul 21 alineatul 2 din Directiva NIS2, între cele zece măsuri enumerate acolo — prin urmare, aceasta nu este o "bună practică" generală, ci un punct de evaluare specific. În ISO/IEC 27001, criptografia apare din nou ca categorie proprie în Anexa A, separat de controlul accesului și separat de continuitate. Acea separare din surse este exact motivul pentru care listele de întrebări ale clienților adesea tratează stocarea și transmisia ca două sub-întrebări: ele urmează structura normei subiacente.