dotazník sa pýta, či sú údaje šifrované pri prenose a ukladaní

Šifrovanie v pokoji a pri prenose, dve samostatné otázky

Táto otázka sa zvyčajne delí na dve časti, a práve preto sa na ňu často odpovedá nesprávne: šifrovaný prenos (pri prenose, napríklad TLS pri prevádzke údajov) a šifrovaní úkladisko (at rest, napríklad šifrovanie disku alebo šifrovanie databázy) sú dve rôzne technické opatrenia. "Áno" na celú otázku je správne len vtedy, ak sú správne obe. Ak máte TLS 1.2 alebo vyššiu verziu na všetkých externých pripojeniach, ale bez šifrovania na úložnej vrstve, odpoveď je rozdelená: áno pre prenos, nie alebo ešte treba urobiť pre úložisko. Vyplňte aj tak rozdelené, ak má portál zákazníka dve samostatné polia — a skontrolujte to, pretože mnoho formátov to má, aj keď pôvodný zoznam to vyjadruje ako jednu otázku.

Dôkazom, ktorý k tomu patrí, je kryptografická politika: dokument, v ktorom je uvedené, ktoré algoritmy a protokoly podnik používa, pre ktoré kategórie údajov a kto o nich rozhoduje. Ak ste to nezaznamenali, ale technicky ste to zaviedli, odpoveď na samotnú otázku je často stále "áno", ale chýba podpora, ktorú chce vidieť audítor alebo zákazník. Toto je čas na politiku o kryptografii a šifrovaní vypracovanie pred tým, ako zaškrtnete políčko, nie po. Bez tejto politiky je "áno, šifrujeme" technické tvrdenie bez písomnej podpory.

Odkiaľ to pochádza: článok 21 odsek 2 a príloha A

Kryptografia a šifrovanie sú uvedené ako samostatné opatrenie v článku 21 odsek 2 Smernice NIS2 (Smernica (EÚ) 2022/2555), medzi desiatimi opatreniami, ktoré musí subjekt minimálne prijať — nie je to teda vedľajšia záležitosť popri analýze rizík alebo reakcii na incidenty, ale je to samostatná povinná kategória. V norme ISO/IEC 27001 sa ten istý predmet objavuje ako samostatný kontrolný prvok v prílohe A, oddelene od širšej bezpečnosti prístupu. Kto pracuje na certifikácii, by mal to zvážiť súčasne s otázka, či je podnik certifikovaný podľa ISO 27001, pretože audítor zvyčajne kontroluje šifrovanie ako samostatný kontrolný bod, nie ako vedľajší produkt niečoho iného. Holandský zákon o kybernetickej bezpečnosti, ktorý preberá tieto povinnosti NIS2, vstúpi do platnosti 15. augusta 2026; do tohto času je samotná smernica osnovným bodom, nie národný zákon.