küsimustik küsib, kas meie andmed on salvestatud krüpteeritud kujul, kuidas ma seda tean

Krüptimine puhkeolekus ja ülekandes on kaks erinevat küsimust

Küsimus "kas andmed on krüpteeritud salvestatud" käsitleb konkreetselt krüptimist puhkeolekus puhkeolekus — andmed kettal, andmebaasis, varukoopias. See on erinev küsimus kui krüptimine ülekandes (TLS andmeedastuse ajal), ja paljud küsimustikud küsivad mõlemaid eraldi, isegi kui sõnastus need kombineerib. Kontrolli seega, kas küsimustik ootab ühte vastust või tegelikult kahte eraldi väidet. "Jah" puhul pead suutma näidata, et see kehtib teie teenuse osutamiseks oluliste süsteemide puhul — mitte et see kehtiks kogu teie IT-maastikus.

Tõend on tavaliselt üks kolmest: konfiguratsiooniekspord või kuvatõmmis teie pilvepakkujalt (näiteks krüptimine puhkeolekus vaikimisi sisse AWS RDS-is või Azure Storage-s), väljavõte teie ISO 27001 Statement of Applicability-st kui ettevõte on ISO 27001 -sertifitseeritud on, või katkend teie omast krüptograafia-poliitikast. Kui teil eraldi poliitikat ei ole, siis on "ei, eraldi dokumenti pole" aus vastus — tehniline meede ilma kirjapandud poliitikatausta on erinev risk kui krüptimise puudumine, ja seda eristust võid selgituses teha. Krüptimine käsitletakse laiemas mõttes sageli osana krüptograafia ja krüptimise poliitikastkaasnevalt, seega kui see küsimus samas küsimustikus on, kasutad sama tõendit mõlemale.

Kuhu see kuulub kümne meetme hulka

Krüptograafia ja krüptimine on loetletud eraldi turumeetmena NIS2-direktiivi artikli 21 lõike 2 alusel, kõrvuti näiteks juurdepääsupoliitika ja intsidendikäsitlusega. ISO 27001 lisa A-s on krüptimine eraldi kontrollmeetme krüptograafia valdkonnas — seepärast küsivad auditorid sellele eraldi tõendust, isegi kui teie üldine turvapoliitika teemat juba käsitleb. Kui te ise kuulute Küberjulgeolekuseaduse alla, siis on see üks punktidest, mille kohta te NIS2-direktiivi alusel üksusena ise vastutust kannate, mitte ainult klientide ees, kes seda küsivad.