zoznam otázok sa pýta, či sú notebooky šifrované, ako si som to istý

Šifrovanie disku je súčasťou politiky kryptografie, nie jednotlivým začiarknutím

Otázka o šifrovaných notebookoch je čiastková otázka z širšej politiky kryptografie a šifrovania. Aby sme si boli istí, že notebook je šifrovaný, znamená to v praxi: BitLocker (Windows) alebo FileVault (macOS) je centrálne presadzovaný prostredníctvom politiky MDM alebo Intune, nie ako samostatné nastavenie, ktoré si používateľ môže sám zapnúť alebo vypnúť. Najdôležitejším dokladom je export z daného správcovského prostredia so stavom šifrovania na zariadenie — nie snímka obrazovky z jedného notebooku. Ak taký export nemáte, potom je "nie" alebo "neznáme" poctivá odpoveď; samostatný IT politický dokument bez údajov o zariadeniach nepostačuje na zodpovedanie otázky.

Venujte pozornosť rozdielu, ktorý mnohé zoznamy robia medzi "policy" a "enforced": pravidlo politiky, ktoré hovorí, že šifrovanie je povinné, je niečo iné ako technická kontrola, ktorá blokuje zariadenia bez šifrovania pri prihlasovaní. Ak vám klient špecificky pýta na "full disk encryption" (plné šifrovanie disku), nezahrňuje sa sem šifrovaný priečinok kontajnera alebo len heslo na operačnom systéme. Týka sa to aj politika prístupu a správa firemného majetkubez aktuálneho prehľadu o tom, ktoré laptopy máte (správa aktív), nemôžete ani dokázať, že sú všetky šifrované — potom môžete len povedať, že politika existuje, nie že je pokrytie stopercentné.

Kde sa to vracia v NIS2 a ISO 27001

Kryptografia je uvedená ako samostatné opatrenie v článku 21 odsek 2 smernice NIS2, v rámci politiky používania kryptografie a, kde je to relevantné, šifrovania — jedno z desiatich opatrení, ktoré smernica uvádzza. V norme ISO/IEC 27001 to spadá pod kontrolné opatrenia v Prílohe A, ktoré sa špecificky týkajú kryptografických kontrol. Oba rámce požadujú stanovenú politiku plus jej preukázateľné uplatňovanie; samotný dokument politiky tedy nie je dostatočný ako dôkaz, technické vynucovanie sa počíta rovnako.