η ερώτηση ζητά εάν τα laptop είναι κρυπτογραφημένα, πώς μπορώ να είμαι σίγουρος

Η κρυπτογράφηση δίσκου είναι μέρος της πολιτικής κρυπτογραφίας, όχι ένα ξεχωριστό πλαίσιο επιλογής

Το ερώτημα σχετικά με κρυπτογραφημένα λάπτοπ είναι ένα υποερώτημα της ευρύτερης πολιτικής κρυπτογραφίας και κρυπτογράφησηςΗ σίγουρη επιβεβαίωση ότι ένα λάπτοπ είναι κρυπτογραφημένο, στην πράξη σημαίνει: το BitLocker (Windows) ή το FileVault (macOS) επιβάλλεται κεντρικά μέσω της πολιτικής MDM ή Intune, όχι ως ξεχωριστή ρύθμιση που ένας χρήστης ενεργοποιεί ή απενεργοποιεί μόνος του. Το αποδεικτικό στοιχείο που μετράει περισσότερο εδώ είναι μια εξαγωγή από αυτό το περιβάλλον διαχείρισης με την κατάσταση κρυπτογράφησης ανά συσκευή — όχι ένα στιγμιότυπο ενός λάπτοπ. Αν δεν έχεις αυτή την εξαγωγή, τότε το «όχι» ή το «άγνωστο» είναι η ειλικρινής απάντηση· ένα ξεχωριστό έγγραφο πολιτικής IT χωρίς δεδομένα συσκευών δεν καλύπτει το ερώτημα.

Δώσε προσοχή στη διάκριση που κάνουν πολλές λίστες μεταξύ «policy» και «enforced»: ένας κανόνας πολιτικής που λέει ότι η κρυπτογράφηση είναι υποχρεωτική, είναι κάτι διαφορετικό από έναν τεχνικό έλεγχο που αποκλείει τις μη κρυπτογραφημένες συσκευές κατά τη σύνδεση. Αν ο πελάτης σας ρωτά για «full disk encryption» συγκεκριμένα, μια κρυπτογραφημένη δοχείο φακέλου ή μόνο ένα κωδικό πρόσβασης στο λειτουργικό σύστημα δεν μετράει. Αυτό σχετίζεται επίσης με τη πολιτική πρόσβασης και τη διαχείριση περιουσιακών στοιχείων της επιχείρησης: χωρίς ένα τρέχον ευρετήριο των λάπτοπ που υπάρχουν (asset management), δεν μπορείς να αποδείξεις ότι είναι όλα κρυπτογραφημένα — μπορείς μόνο να πεις ότι η πολιτική υπάρχει, όχι ότι η κάλυψη είναι εκατό τοις εκατό.

Πού επανεμφανίζεται αυτό στο NIS2 και ISO 27001

Η κρυπτογραφία αναφέρεται ως ξεχωριστό μέτρο στο άρθρο 21 παράγραφος 2 της Οδηγίας NIS2, στο πλαίσιο της πολιτικής χρήσης της κρυπτογραφίας και, κατά περίπτωση, κρυπτογράφησης — ένα από τα δέκα μέτρα που αναφέρει η Οδηγία. Στο ISO/IEC 27001 εμπίπτει στα μέτρα ελέγχου του Παραρτήματος A που αφορούν συγκεκριμένα τους κρυπτογραφικούς ελέγχους. Και τα δύο πλαίσια ζητούν μια καθορισμένη πολιτική συν την αποδείξιμη εφαρμογή της· επομένως μόνο το έγγραφο πολιτικής δεν είναι επαρκές ως απόδειξη, η τεχνική επιβολή έχει ίδιο βάρος.