asiakas kysyy, onko tietomme salattu tallennuksen ja lähetyksen aikana

Tiedon salaus tallennuksessa ja siirtoon ovat kaksi erikseen vahvistettavaa kohtaa

Kysymys sisältää usein kaksi osakysy­mysta yhdessä: salaus "at rest" (tallennus) ja "in transit" (lähetys). Vastaa niihin toisistaan riippumatta, koska voi käydä, että toinen on järjestetty ja toinen ei — esimerkiksi TLS kaikissa yhteyksissa, mutta ei tietokannan alla olevan datan salausta. Kerro vastauksessa konkreettisesti, kumpi näistä kahdesta on täytetty, sen sijaan että antaisit yhteenveto-vastauksen "kyllä".

Mitä tarvitset vahvistaaksesi: käytetty protokolla dataliikennöintiin (yleensä TLS 1.2 tai uudempi) ja tallennusmenetelmä (yleensä AES-256 tai vastaava). Jos tämä ei ole kirjattu salausehtoon, ei ole mitään vahvistettavaa — silloin "määritettävä vielä" on oikea merkintä, ei arvaus. Tämä on yhdenmukainen kysymyksen kanssa onko olemassa ehtoa kryptografian ja salauksen käytöstä: ilman kyseistä ehtoa puuttuu pohja, jolle tämä vastaus voi perustua. Salaus liittyy myös siihen, keillä on pääsy avaimiin; jos siitä ei ole mitään kirjattuna, se on merkki siitä, että myös pääsynhallintaehto ei vielä ole täydellinen.

Miksi tämä tulee erikseen uudelleen esille direktiivin NIS2 21 artiklan 2 kohdassa ja liitteessä A

Tiedon salaus mainitaan erillisenä toimenpiteenä NIS2-direktiivin 21 artiklan 2 kohdassa, kymmenen siinä luetellun toimenpiteen joukossa — tämä ei siis ole yleinen "hyvä käytäntö" vaan erityinen arviointikriteeri. ISO/IEC 27001 -standardissa kryptografia esiintyy omana kategoriana liitteessä A, erillään pääsynhallinnasta ja erillään jatkuvuudesta. Tämä jako lähteissä on täsmälleen syy siihen, miksi asiakkaiden kyselylomakkeet esittävät tapauksittain tallennusta ja siirtoa kahtena osakysymyksenä: ne noudattavat taustalla olevan standardin rakennetta.