klient küsib, kas meie andmed on krüpteeritud salvestamise ja saatmise ajal

Andmete krüpteerimine salvestamise ja edastamise ajal on kaks eraldi kinnitamist nõudvat punkti

Küsimus sisaldab sageli kahte alamküsimust ühes: krüpteerimine "at rest" (salvestamine) ja "in transit" (edastamine). Vastake neile eraldi, sest juhtub, et üks on korraldatud ja teine mitte — näiteks TLS kõigil ühendustel, kuid andmebaasi krüpteerimine puudub. Öelge vastuses konkreetselt, milline neist kahest on täidetud, selle asemel et anda üks kokkuvõttev "jah".

Mida teil on vaja kinnitamiseks: andmesideseks kasutatav protokoll (tavaliselt TLS 1.2 või uuem) ja salvestamismeetod (tavaliselt AES-256 või samaväärne). Kui see ei ole krüpto-poliitikasse fikseeritud, pole midagi kinnitada — siis on "määratlusel" õige silt, mitte arvatud oletamine. See on kooskõlas küsimusega kas on poliitika krüptograafia ja andmete krüpteerimise kasutamise kohta: ilma selle poliitikata puudub alus, millele see vastus tugineda saab. Krüpteerimine on seotud ka sellega, kellel on juurdepääs võtmele; kui selle kohta midagi fikseeritud pole, on see märk sellest, et ka juurdepääsupoliitika on veel lõpetamata.

Miks see esineb eraldi artiklis 21 lõikes 2 ja Lisas A

Andmete krüpteerimine on nimetatud eraldi meetmena NIS2-direktiivi artikli 21 lõikes 2, seal loetletud kümne meetme seas — seega pole see üldine "hea praktika", vaid konkreetne hindamispunkt. ISO/IEC 27001 standardis kuvatakse krüptograafia Lisas A omaette kategooriaks, eraldi juurdepääsukontrolli ja erinevalt järjepidevusest. See eraldus allikates on täpselt põhjus, miks kliendiküsimustikud esitavad salvestamist ja edastamist sageli kahe alamküsimusena: nad järgivad aluseks oleva standardi struktuuri.