Zákazník se ptá, zda jsou naše data šifrována během ukládání a odesílání

Šifrování během ukládání a přenosu jsou dva samostatně potvrzované body

Otázka často obsahuje dvě dílčí otázky v jedné: šifrování "at rest" (ukládání) a "in transit" (přenos). Odpovězte na ně samostatně, protože se vyskytuje, že jedno je zajištěno a druhé není — například TLS na všech spojeních, ale bez šifrování základní databáze. V odpovědi konkrétně uveďte, který ze dvou bodů je vyplněn, místo jednoho shrnutí "ano".

Co potřebujete k potvrzení: protokol používaný pro datový provoz (obvykle TLS 1.2 nebo vyšší) a metoda pro ukládání (obvykle AES-256 nebo ekvivalent). Pokud to není stanoveno v zásadách kryptografie, není co potvrdit — pak je "ještě určit" správný štítek, ne odborný odhad. To navazuje na otázku zda existují zásady týkající se použití kryptografie a šifrování: bez těchto zásad chybí zdroj, na který se může tato odpověď opírat. Šifrování také souvisí s tím, kdo má přístup ke klíčům; pokud o tom není nic stanoveno, je to náznак toho, že také zásady přístupu ještě nejsou úplné.

Proč se to objevuje samostatně v článku 21 odst. 2 a Příloze A

Šifrování údajů je zmíněno jako samostatné opatření v článku 21 odst. 2 směrnice NIS2, mezi deseti tam uvedenými opatřeními — jedná se tedy ne o obecnou "osvědčenou praxi", ale o konkrétní kontrolní bod. V ISO/IEC 27001 se kryptografie objevuje jako samostatná kategorie v Příloze A, oddělená od řízení přístupu a oddělená od kontinuity. Toto dělení ve zdrojích je přesně důvod, proč seznam otázek od klientů často uvádí ukládání a přenos jako dvě dílčí otázky: následují strukturu základní normy.