Dotazník sa pýta, či sú naše dáta zašifrované pri ukladaní, ako to zistím

Šifrovanie v pokoji a počas prenosu sú dve rôzne otázky

Otázka "sú údaje zašifrované pri uložení" sa týka konkrétne šifrovania v pokoji — údaje na disku, v databáze, v záloháchº Toto je iné okienko ako šifrovanie počas prenosu (TLS pri prenose údajov), a veľa zoznamov otázok sa na oboje pýta oddelene, aj keď formulácia ich spaja. Skontroluj teda, či zoznam očakáva jednu odpoveď alebo vlastne dve samostatné tvrdenia. Pre "áno" musíš vedieť preukázať, že to platí pre systémy, ktoré sú relevantné pre službu poskytovanú tomuto zákazníkovi — nie že to tak je všade v tvojej IT-krajine.

Dôkaz je zvyčajne jeden z troch: export konfigurácie alebo snímka obrazovky od tvojho poskytovateľa cloudových služieb (napríklad šifrovanie v pokoji štandardne zapnuté pri AWS RDS alebo Azure Storage), výňatok z tvojej Vyhlásenia použiteľnosti ISO 27001, alebo podnik je certifikovaný podľa ISO 27001 je, alebo úryvok z vlastnej politiky kryptografie. Ak nemáš samostatnú politiku, potom je "nie, bez samostatného dokumentu" čestná odpoveď — technické opatrenie bez zdokumentovanej politiky za ním je iné riziko ako bez šifrovania, a toto rozlíšenie si môžeš urobiť v objasnení. Šifrovanie sa v širšom zmysle často zahŕňa pod politiky kryptografie a šifrovania, takže ak sa táto otázka v rovnakom zozname vyskytuje, použiješ rovnaký dôkaz pre oboje.

Keď to spadá pod desať opatrení

Kryptografia a šifrovanie sú v článku 21 ods. 2 smernice NIS2 uvedené ako samostatné opatrenie, okrem iného popri politike prístupu a zvládaní incidentov. V norme ISO 27001 Annex A je šifrovanie samostatným kontrolným opatrením v rámci kryptografickej domény — preto audítori požadujú preň samostatný dôkaz, aj keď všeobecná bezpečnostná politika už tému obsahuje. Ak sám spadáš pod Zákon o kybernetickej bezpečnosti, potom je toto jeden z bodov, za ktorý si ako subjekt podľa smernice NIS2 sám zodpovedá, nielen voči zákazníkom, ktorí o to žiadajú.