Ο πελάτης ζητά εάν τα δεδομένα μας είναι κρυπτογραφημένα κατά την αποθήκευση και τη μετάδοση

Η κρυπτογράφηση κατά την αποθήκευση και τη μεταφορά είναι δύο ξεχωριστά σημεία προς επιβεβαίωση

Η ερώτηση συχνά περιέχει δύο υποερωτήσεις σε μία: κρυπτογράφηση "at rest" (αποθήκευση) και "in transit" (μεταφορά). Απαντήστε τις ξεχωριστά, γιατί συμβαίνει συχνά το ένα να είναι ρυθμισμένο και το άλλο όχι — για παράδειγμα TLS σε όλες τις συνδέσεις, αλλά χωρίς κρυπτογράφηση της υποκείμενης βάσης δεδομένων. Δηλώστε στην απάντηση συγκεκριμένα ποια από τις δύο είναι συμπληρωμένη, αντί για μία συνοπτική "ναι".

Αυτό που χρειάζεστε για να επιβεβαιώσετε: το πρωτόκολλο που χρησιμοποιείται για την κίνηση δεδομένων (συνήθως TLS 1.2 ή νεότερο) και η μέθοδος για την αποθήκευση (συνήθως AES-256 ή ισοδύναμη). Αν αυτό δεν έχει καθοριστεί σε μια πολιτική κρυπτογραφίας, δεν υπάρχει τίποτα να επιβεβαιώσετε — τότε "ακόμη να προσδιοριστεί" είναι η σωστή ετικέτα, όχι μια εκπαιδευμένη εικασία. Αυτό ευθυγραμμίζεται με την ερώτηση αν υπάρχει πολιτική σχετικά με τη χρήση κρυπτογραφίας και κρυπτογράφησης: χωρίς αυτή την πολιτική, η πηγή στην οποία μπορεί να στηριχθεί αυτή η απάντηση λείπει. Η κρυπτογράφηση σχετίζεται επίσης με το ποιος έχει πρόσβαση στα κλειδιά· αν δεν έχει οριστεί τίποτα γι' αυτό, αυτό είναι μια ένδειξη ότι και η πολιτική πρόσβασης δεν είναι ακόμη πλήρης.

Γιατί αυτό φαίνεται ξανά στο άρθρο 21 παράγραφος 2 και στο Παράρτημα A

Η κρυπτογράφηση δεδομένων αναφέρεται ως ξεχωριστό μέτρο στο άρθρο 21 παράγραφος 2 της Οδηγίας NIS2, ανάμεσα στα δέκα εκεί απαριθμούμενα μέτρα — αυτό δεν είναι λοιπόν μια γενική "καλή πρακτική" αλλά ένα συγκεκριμένο σημείο ελέγχου. Στο ISO/IEC 27001 η κρυπτογραφία εμφανίζεται ξανά ως δική της κατηγορία στο Παράρτημα A, χωριστά από τον έλεγχο πρόσβασης και χωριστά από τη συνέχεια. Αυτή η διαίρεση στις πηγές είναι ακριβώς γιατί οι ερωτηματολόγια πελατών συχνά θέτουν αποθήκευση και μεταφορά ως δύο υποερωτήσεις: ακολουθούν τη δομή της υποκείμενης νόρμας.