le questionnaire demande si nos données sont chiffrées en stockage comment je le sais

Le chiffrement au repos et en transit sont deux questions différentes

La question « les données sont-elles stockées chiffrées » porte spécifiquement sur le chiffrement au repos — données sur disque, dans la base de données, dans les sauvegardes. C'est une case différente du chiffrement en transit (TLS lors du transfert de données), et de nombreux questionnaires demandent les deux séparément, même si la formulation les regroupe. Vérifiez donc si le questionnaire attend une seule réponse ou vérifie en réalité deux affirmations distinctes. Pour « oui », vous devez pouvoir démontrer que cela s'applique aux systèmes pertinents pour le service fourni à ce client — pas que cela soit le cas partout dans votre paysage informatique.

La preuve est généralement l'une de trois choses : une exportation de configuration ou une capture d'écran de votre fournisseur de cloud (par exemple, chiffrement au repos activé par défaut chez AWS RDS ou Azure Storage), un extrait de votre Déclaration d'applicabilité ISO 27001 si l'entreprise est certifiée ISO 27001 est, ou un passage de votre propre politique de chiffrement. Si vous n'avez pas de politique séparée, alors « non, pas de document distinct » est la réponse honnête — une mesure technique sans politique documentée derrière elle est un risque différent de l'absence de chiffrement, et vous pouvez faire cette distinction dans votre explication. Le chiffrement est souvent inclus dans un sens plus large sous politique de cryptographie et de chiffrement, donc si cette question figure dans la même liste, utilisez la même preuve pour les deux.

Où cela relève des dix mesures

La cryptographie et le chiffrement sont mentionnés comme une mesure séparée à l'article 21, paragraphe 2 de la directive NIS2, aux côtés notamment de la politique d'accès et de la gestion des incidents. Dans l'annexe A d'ISO 27001, le chiffrement figure comme une mesure de contrôle distincte au sein du domaine de la cryptographie — c'est pourquoi les auditeurs demandent des preuves séparées, même si votre politique de sécurité générale aborde déjà le sujet. Si vous relevez vous-même de la Loi sur la cybersécurité, ceci est l'un des points sur lequel vous en tant qu'entité relevant de la directive NIS2 rendez compte vous-même, pas seulement vis-à-vis des clients qui vous le demandent.