kaj izpolnim na vprašanje o šifriranju podatkov med shranitvijo in prenošenjem

Šifriranje pri shranjevanju in pri prenosu sta dve potrditvi, ne ena

Izpolnite ločeno, ali so podatki v mirovanju šifrirani in ali so podatki v prenosu šifrirani — seznam, ki iz enega vprašanja naredi dva, običajno v pojasnilu pričakuje oba odgovora. Za prenos je TLS 1.2 ali novejši standardno pričakovan; za shranjevanje AES-256 na ravni podatkovne baze ali šifriranje celega diska. Če imate le TLS za promet, vendar ni šifriranja pri shranjevanju, izpolnite »delno« ali »ne« pri shranjevanju s kratkimi pojasnili — ne »da«, ker je transportna stran v redu.

Če tega nimate dokumentirano po sistemih, vendar veste, da vaš ponudnik oblaka (AWS, Azure, Google Cloud) to standardi počne na ravni infrastrukture, je to veljaven odgovor, vendar opisati morate, da gre za šifriranje ponudnika, ne za lastno upravljanje. Nekateri vprašalniki izrecno sprašujejo o upravljanju ključev — kdo upravlja ključe šifriranja, vi ali ponudnik — in to je drugačen odgovor kot vprašanje, ali se šifrira. V primeru dvoma, kaj je točno vprašano: preverite, ali je vprašanje del širšega bloka o politiki kriptografije in šifriranja, ker se potem pogosto sprašuje tudi za politiko samo po sebi, ne samo za tehniko. Če nimate dokumentirane politike, vendar je tehnika vključena, označite to razliko v pojasnilu namesto splošnega odgovora.

Iz česa to izhaja: člen 21(2) NIS2 in Prilogo A standarda ISO 27001

Kriptografija in šifriranje so kot ločen ukrep navedeni v členu 21(2) Direktive (EU) 2022/2555 (NIS2), poleg ukrepov glede politike dostopa in zaščite omrežja — zato jih stranke sprašujejo ločeno od primera politiko dostopa in upravljanje sredstev podjetjaZakon o kibernetski varnosti, nizozemska prenositev direktive NIS2, naj bi začel veljati predvidoma 15. avgusta 2026; do tega datuma je direktiva sama izhodišče za tiste, ki že prejemajo vprašalnike o tem.