mitä kirjoitan tietojen salauksen osalta sekä tallennuksessa että siirrossa

Salaus tallennuksessa ja kuljetuksessa ovat kaksi valintaruutua, ei yksi

Täytä erikseen, salataanko tiedot levossa (data-at-rest) ja salataanko tiedot siirron aikana (data-in-transit) — jos lista yhdistää nämä yhdeksi kysymykseksi, odottaa se usein silti molempia vastauksia perustelun yhteydessä. Kuljetuksessa TLS 1.2 tai uudempi on standardi odotus; tallennuksessa AES-256 tietokantatasolla tai täysi levyn salaus. Jos sinulla on vain TLS liikenteelle mutta ei salausta tallennukseen, kirjoita "osittain" tai "ei" tallennukseen lyhyen perustelun kanssa — älä kirjoita "kyllä" koska kuljetuspuoli on kunnossa.

Jos sinulla ei ole tätä dokumentoituna järjestelmäkohtaisesti mutta tiedät, että pilvipalveluntarjoajasi (AWS, Azure, Google Cloud) tekee tämän vakiona infrastruktuuritasolla, se on kelvollinen vastaus, kunhan selität sen näin: pilvipalveluntarjoajan tuottama salaus, ei omalla tavalla hallittu. Jotkut listat kysyvät nimenomaisesti avainten hallinnasta — kuka hallitsee salausavaimia, sinä vai palveluntarjoaja — ja se on eri vastaus kuin kysymys siitä, salataanko lainkaan. Epävarmuuden tapauksessa siitä, mitä tarkalleen kysytään: tarkista, onko kysymys osa laajempaa lohkoa salauksen ja salauksisen linjauksetkoska silloin kysytään usein myös itse linjaukset, ei pelkästään tekniikka. Jos sinulla ei ole dokumentoitua linjauksia mutta tekniikka on käytössä, ilmoita tämä ero perustelun yhteydessä sen sijaan, että vastaisit kiertävästi.

Mistä tämä tulee: NIS2-direktiivin 21 artiklan 2 kohta ja ISO 27001:n liite A

Salaus ja kryptografia mainitaan erillisenä toimenpiteenä Neuvoston direktiivin (EU) 2022/2555 (NIS2) 21 artiklan 2 kohdassa pääsynhallinnon ja verkon turvallisuuden toimenpiteiden rinnalla — siksi asiakkaat kysyvät tämän erikseen esimerkiksi pääsynhallintaan ja yritysvarojen hallintaan. ISO/IEC 27001:ssä salaus on oma hallinnon toimenpide liitteessä A, erillään informaatiojärjestelmien yleisistä toimenpiteistä. Kyberturvalaista, NIS2:n Suomen säännös, odotetaan tulevan voimaan 15. elokuuta 2026; siihen asti direktiivi itse on lähtökohta niille, jotka jo saavat näistä kysymyksiä.