vprašalnik sprašuje, ali so prenosniki šifrirani, kako sem prepričan

Šifriranje diska je del kriptografske politike, ne samostojne zadevke

Vprašanje o šifriranih prenosnih računalnikih je podvprašanje širše politike o kriptografiji in šifriranju. Zagotoviti si, da je prenosni računalnik šifriran, pomeni v praksi: BitLocker (Windows) ali FileVault (macOS) sta osrednje vsiljena prek politike MDM ali Intune, ne kot posamezna nastavitev, ki jo uporabnik sam vključi ali izključi. Dokazilo, ki se tukaj najbolj upošteva, je izvoz iz te upravljavske okolice s stanjem šifriranja na naprav — ne posnetek zaslona enega prenosnika. Če tega izvoza nimate, sta "ne" ali "neznano" pošten odgovor; samostojni dokument IT-politike brez podatkov o napravah ne pokriva vprašanja.

Bodite pozorni na razliko, ki jo številni seznami delajo med "politiko" in "vsiljenostjo": pravilo, ki pravi, da je šifriranje obvezno, je drugače kot tehnični nadzor, ki blokira naprave, ki niso šifrirane, ob prijavi. Če vas naročnik sprašuje posebej o "šifriranju celotnega diska", šifrirani vsebnik ali samo geslo za operacijski sistem ne štejeta. To se navezuje tudi na politiko dostopa in upravljanje poslovnih sredstev: brez ažurnega seznama, katere prenosne računalnike imate (upravljanje sredstev), ne morete dokazati, da so vsi šifrirani — lahko samo reknete, da je politika obstoječa, ne da je pokritost sto odstotna.

Kjer se to pojavlja v NIS2 in ISO 27001

Kriptografija je navedena kot ločena ukrep v členu 21 odstavek 2 direktive NIS2, pod politiko za uporabo kriptografije in, kjer je relevantno, šifriranje — eden od desetih ukrepov, ki jih direktiva našteva. V ISO/IEC 27001 to spada pod kontrolne ukrepe v Prilogo A, ki se posebej nanašajo na kriptografske kontrole. Oba okvira zahtevata vzpostavljeno politiko ter njeno dokazljivo uporabo; samo dokument politike torej ni dovoljan dokaz, tehnična vsiljena se šteje enako težko.