dotazník se ptá, zda jsou notebooky šifrovány, jak si tím budu jist

Šifrování disku je součástí zásad kryptografie, nikoli volitelné zaškrtnutí

Otázka na šifrované notebooky je dílčí otázkou z širší zásady týkající se kryptografie a šifrování. Zajistit si, že je notebook bezpečně zašifrován, znamená v praxi: BitLocker (Windows) nebo FileVault (macOS) je centrálně vynucen prostřednictvím zásad MDM nebo Intune, nikoli jako volné nastavení, které si uživatel může sám zapnout nebo vypnout. Nejhodnotnějším důkazem zde je export z tohoto správcovského prostředí se stavem šifrování na jednotlivé zařízení — nikoli snímek obrazovky jednoho notebooku. Pokud takový export nemáte, je "ne" nebo "neznámé" upřímná odpověď; samostatný dokument IT zásad bez údajů o zařízeních otázku neřeší.

Pozor na rozdíl, který mnoho seznamů dělají mezi "policy" a "enforced": pravidlo zásad, které říká, že šifrování je povinné, je něco jiného než technická kontrola, která blokuje nešifrovaná zařízení při přihlášení. Pokud váš zákazník konkrétně žádá o "full disk encryption", nešifrovaná kontejnerová složka nebo pouze heslo operačního systému se nezapočítávají. To také souvisí se zásadami přístupu a řízením majetku společnosti: bez aktuálního přehledu o tom, jaké notebooky existují (správa aktiv), nemůžete prokázat, že jsou všechny šifrovány — můžete jen říci, že zásady existují, ne že je pokrytí stoprocentní.

Kde se to vrací v NIS2 a ISO 27001

Kryptografie je jmenována jako samostatné opatření v článku 21 odst. 2 směrnice NIS2, pod zásadami pro používání kryptografie a v případě potřeby šifrování — jedno z deseti opatření, která směrnice vyjmenovává. V normě ISO/IEC 27001 to spadá pod opatření v příloze A, která se konkrétně týkají kryptografických kontrol. Oba rámce vyžadují stanovené zásady plus jejich dokazatelné používání; pouze dokument zásad tedy není dostatečný jako důkaz, technické vynucení se počítá stejně důležitě.