Stranka sprašuje, ali so naši podatki šifrirani med shranjevanjem in pošiljanjem

Šifriranje med shranitvijo in transportom sta dve ločeni točki, ki ju je treba potrditi

Vprašanje pogosto vsebuje dve podvprašanji v enem: šifriranje "at rest" (shranjevanje) in "in transit" (pošiljanje). Odgovorite nanju ločeno, saj se lahko zgodi, da je ena urejena, druga pa ne — na primer TLS na vseh povezavah, toda brez šifriranja osnovne baze podatkov. V odgovoru konkretno navedite, katera od obeh je izpolnjena, namesto enega povzetega "da".

Kaj potrebujete za potrditev: uporabljen protokol za prenos podatkov (običajno TLS 1.2 ali novejši) in metodo za shranjevanje (običajno AES-256 ali enakovredno). Če to ni opredeljeno v politiki kriptografije, ni nič za potrditev — tedaj je "še je treba določiti" pravilna oznaka, ne pa strel v črno. To je skladna z vprašanjem ali obstaja politika glede uporabe kriptografije in šifriranja: brez te politike manjka vir, na katerega se lahko opira ta odgovor. Šifriranje je tudi povezano s tem, kdo ima dostop do ključev; če o tem nič ni določeno, je to znak, da tudi politika dostopa še ni popolna.

Zakaj se to pojavlja ločeno v členu 21(2) in Prilogi A

Šifriranje podatkov je navedeno kot samostojni ukrep v členu 21(2) direktive NIS2, med desetimi tam našteti ukrepi — to torej ni splošna "dobra praksa", temveč specifična kontrolna točka. V ISO/IEC 27001 se kriptografija pojavi kot samostojna kategorija v Prilogi A, ločeno od upravljanja dostopa in ločeno od kontinuitete. To ločitev v virih je natanko razlog, da klientska vprašanja pogosto nastopata shranjevanje in pošiljanje kot dve podvprašanji: sledita strukturi osnovne norme.