küsimustik küsib, kas sülearvutid on krüpteeritud, kuidas ma selle kindlaks teen

Kettakrüptimine on osa krüptograafiapoliitikast, mitte omaette märkeruut

Küsimus krüptitud sülearvutite kohta on osalküsimus laiemast krüptograafia ja krüptimise poliitikast. Kindlaks tegemiseks, et sülearvuti on krüptitud, tähendab praktikas: BitLocker (Windows) või FileVault (macOS) on keskselt jõustatud MDM- või Intune-poliitika kaudu, mitte omaette sättena, mida kasutaja ise sisse või välja lülitab. Tõendusmaterjal, mis siin kõige rohkem loeb, on eksport sellest haldustarkvest krüptimise staatuse kohta seadmeti kaupa — mitte ühe sülearvuti pilt. Kui sul seda eksporti ei ole, siis "ei" või "teadmata" on aus vastus; üksik IT-poliitikadokument seadmete andmete järele on puudulik.

Pane tähele vahet, mida paljud loendid teevad "poliitika" ja "jõustatud" vahel: poliitikareegel, mis ütleb, et krüptimine on kohustuslik, on midagi muud kui tehniline kontroll, mis blokeerib mittekrüptitud seadmed sisselogimisel. Kui sinu klient küsib "täiskettal krüptimise" järgi konkreetselt, siis krüptitud konteinerkaustaga või ainult operatsioonisüsteemi parooliga arvamine ei lähe arvesse. See puudutab ka juurdepääsupoliitika ja ettevõtte varade haldust: ilma praeguse ülevaateta selle kohta, milliseid sülearvuteid on (varade juhtimine), ei saa sa ka tõendada, et need on kõik krüptitud — saad siis ainult öelda, et poliitika on olemas, mitte seda, et katvus on sada protsenti.

Kus see NIS2-s ja ISO 27001-s tagasi tuleb

Krüptograafia on eraldi meetmena nimetatud NIS2-direktiivi artikli 21 lõikes 2, krüptograafia kasutamise poliitika all ja vajaduse korral krüptimine — üks kümme meetmest, mida direktiiv loetleb. ISO/IEC 27001-s kuulub see Annex A hallitsemismeetmete alla, mis käsitlevad konkreetselt krüptograafilisi kontrolle. Mõlemad raamistikud nõuavad kehtestatud poliitikat pluss selle jälgitavat rakendamist; pelg poliitikadokument pole seega tõend, tehnilise jõustamise kaal on võrdne.