kyselylomake kysyy, ovatko kannettavat tietokoneet salattu, kuinka tietää varmuudella

Levyjen salaus on osa salauksenpolitiikkaa, ei erillinen valintaruutu

Kysymys salattujen kannettavien osalta on osikysymys laajemmasta salaukseen ja salauseen liittyvästä politiikasta. Kannettavan salauksen varmistaminen käytännössä tarkoittaa sitä, että BitLocker (Windows) tai FileVault (macOS) on keskitetysti pakotettuna MDM- tai Intune-politiikan kautta, ei erillisenä asetuksena, jonka käyttäjä voi itse ottaa käyttöön tai poistaa käytöstä. Tässä tapauksessa merkitsevin todiste on vienti kyseisestä hallintaympäristöstä, jossa näkyy kunkin laitteen salaustila — ei kuvakaappaus yhdestä kannettavasta. Jos sinulla ei ole tätä vientiä, "ei" tai "tuntematon" on rehellinen vastaus; erillinen IT-politiikka-asiakirja ilman laitteiston tietoja ei vastaa kysymykseen.

Huomaa ero, jonka monet luettelot tekevät "politiikan" ja "pakotuksen" välillä: politiikkasääntö, jonka mukaan salaus on pakollista, on jotain muuta kuin tekninen valvonta, joka estää salaamattomat laitteet kirjautumisesta. Jos asiakkaasi kysyy erityisesti "täydestä levyn salauksesta", salattu säilökansiö tai vain käyttöjärjestelmän salasana eivät kelpaa. Tämä koskee myös laitteistohallintoa ja yritysomaisuuden hallintaa: ilman voimassa olevaa luetteloa olemassa olevista kannettavista (omaisuuksien hallinta) et voi osoittaa, että kaikki ne ovat salattuja — voit vain sanoa, että politiikka on olemassa, et sitä, että kattavuus on sata prosenttia.

Missä tämä palaa esiin NIS2:ssa ja ISO 27001:ssä

Kryptografia mainitaan erillisenä toimenpiteenä NIS2-direktiivin 21 artiklan 2 kohdassa, kryptografian käytöntöä koskevan politiikan alaisuudessa ja tarvittaessa salausta — yksi kymmenestä toimenpiteestä, jotka direktiivi luettelee. ISO/IEC 27001:ssä tämä kuuluu Annex A:n hallintomenetelmiä koskeviin toimenpiteisiin, jotka käsittelevät erityisesti kryptografisia valvontoja. Molemmat kehykset edellyttävät vahvistettua politiikkaa ja sen todistettavaa soveltamista; pelkkä politiikka-asiakirja ei siis riitä todisteeksi, tekninen pakkotehokkuus on yhtä tärkeä.