το ερωτηματολόγιο ρωτά εάν τα δεδομένα μας είναι κρυπτογραφημένα αποθηκευμένα πώς ξέρω ότι

Η κρυπτογραφία at rest και in transit είναι δύο διαφορετικές ερωτήσεις

Η ερώτηση "είναι τα δεδομένα κρυπτογραφημένα αποθηκευμένα" αφορά συγκεκριμένα την κρυπτογραφία at rest at rest — δεδομένα στο δίσκο, στη βάση δεδομένων, στα αντίγραφα ασφαλείας. Αυτό είναι ένα διαφορετικό πλαίσιο από την κρυπτογραφία in transit (TLS στη μεταφορά δεδομένων), και πολλές λίστες ερωτήσεων ζητούν και τα δύο ξεχωριστά, ακόμη και αν η διατύπωση τα συγχωνεύει. Ελέγξτε λοιπόν εάν η λίστα ερωτήσεων περιμένει μια απάντηση ή στην πραγματικότητα επαληθεύει δύο ξεχωριστές δηλώσεις. Για «ναι» πρέπει να μπορείτε να αποδείξετε ότι ισχύει για τα συστήματα που είναι σχετικά με την υπηρεσία προς εκείνον τον πελάτη — όχι ότι ισχύει παντού στο τοπίο πληροφορικής σας.

Η απόδειξη είναι συνήθως ένα από τρία πράγματα: μια εξαγωγή ρυθμίσεων ή στιγμιότυπο οθόνης από τον πάροχο νέφους σας (για παράδειγμα κρυπτογραφία at rest ενεργοποιημένη από προεπιλογή στο AWS RDS ή Azure Storage), ένα απόσπασμα από τη δήλωση εφαρμοσιμότητάς σας κατά ISO 27001 εάν η επιχείρηση είναι πιστοποιημένη ISO 27001 υπάρχει, ή ένα απόσπασμα απόην πολιτική κρυπτογραφίας σας. Εάν δεν έχετε ξεχωριστή πολιτική, τότε «όχι, κανένα ξεχωριστό έγγραφο» είναι η ειλικρινής απάντηση — ένα τεχνικό μέτρο χωρίς καταγεγραμμένη πολιτική πίσω του είναι ένας διαφορετικός κίνδυνος από την απουσία κρυπτογραφίας, και μπορείτε να κάνετε αυτή τη διάκριση στην εξήγηση. Η κρυπτογραφία στευ ευρύτερη έννοια συχνά συμπεριλαμβάνεται κάτω από πολιτικής κρυπτογραφίας και κρυπτογράφησης, οπότε εάν αυτή η ερώτηση υπάρχει στην ίδια λίστα, χρησιμοποιήστε την ίδια απόδειξη για και τα δύο.

Όπου αυτό εμπίπτει στα δέκα μέτρα

Η κρυπτογραφία και η κρυπτογράφηση αναφέρονται ως ξεχωριστό μέτρο στο άρθρο 21 παράγραφος 2 της Οδηγίας NIS2, παράπλευρα με άλλα μέτρα όπως η πολιτική πρόσβασης και η αντιμετώπιση περιστατικών. Στο ISO 27001 Annex A, η κρυπτογραφία εμφανίζεται ως ξεχωριστό μέτρο ελέγχου εντός του τομέα κρυπτογραφίας — γι' αυτό οι ελεγκτές ζητούν ξεχωριστή απόδειξη για αυτό, ακόμη και αν η γενική πολιτική ασφάλειάς σας ήδη αναφέρει το θέμα. Εάν ανήκετε στο πεδίο εφαρμογής του Νόμου Κυβερνοασφάλειας, τότε αυτό είναι ένα από τα σημεία στα οποία αναφέρετε ως οντότητα κάτω από την Οδηγία NIS2 μόνο στους πελάτες που το ζητούν, όχι.