Seznam vprašanj vprašuje, ali so naši podatki šifrirani pri shranjevanju, kako to vem

Šifriranje med mirovanjem in med prenosom sta dve različni vprašanji

Vprašanje »ali so podatki šifrirani pri hranjenju« se nanaša specifično na šifriranje at rest — podatki na disku, v bazi podatkov, v varnostnih kopijah. To je druga kategorija kot šifriranje in transit (TLS pri prometu podatkov), in številni vprašalniki zahtevajo odgovore na obe kategoriji posebej, tudi če je besedilo zbliža. Preverite torej, ali vprašalnik pričakuje en odgovor ali pravzaprav dve ločeni trditvi. Za »da« morate dokazati, da velja za sisteme, ki so ustrezni za storitev temu stranki — ne da je tako povsod v vaši IT-krajini.

Dokaz je običajno ena od treh stvari: izvoz konfiguracije ali posnetek zaslona iz vašega ponudnika storitev v oblaku (na primer šifriranje at rest kot privzeto vključeno pri AWS RDS ali Azure Storage), odlomek iz vaše izjave o uporabnosti ISO 27001, če podjetje certificirano po ISO 27001 je, ali odstavek iz vaše lasten politike kriptografije. Če nimate ločenega pravilnika, je »ne, ni ločenega dokumenta« pošten odgovor — tehnični ukrep brez dokumentirane politike za njim je drugačno tveganje kot odsotnost šifriranja, in to razliko lahko pojasniete v navajanju. Šifriranje se v širšem smislu pogosto vključuje pod politike o kriptografiji in šifriranju, zato če je to vprašanje v istem vprašalniku, uporabite isti dokaz za oboje.

Kje to spada med deset ukrepov

Kriptografija in šifriranje sta navedena kot ločena ukrepa v členu 21, odstavek 2 direktive NIS2, skupaj z drugimi, kot so politika dostopa in obravnavanje incidentov. V ISO 27001 prilogo A je šifriranje navedeno kot lochen ukrep upravljanja v kriptografski domeni — zato revizorji zahtevajo za to ločen dokaz, tudi če splošna politika varnosti te teme že omenja. Če ste sami predmet Zakona o kibernetski varnosti, je to ena od točk, na katero ste kot entiteta pod direktivo NIS2 sami odgovorni, ne le do strank, ki to sprašujejo.