upitnik pita jesu li podaci šifrirani tijekom prijenosa i pohrane

Šifriranje u mirovanju i pri prijenosu, dva odvojena pitanja

Ovo pitanje obično se dijeli na dva dijela, i upravo je to razlog zašto se često netačno odgovara: šifriranje pri slanju podataka (pri prijenosu, primjerice TLS pri prometu podataka) i šifriranje pri pohrani (at rest, primjerice šifriranje diska ili enkripcija baze podataka) su dvije različite tehničke mjere. Odgovor "da" na cijelo pitanje je točan samo ako su oboje točni. Ako imate TLS 1.2 ili novije na svim vanjskim vezama, ali nema enkripcije na sloju pohrane, tada je odgovor podijeljen: da za prijenos, ne ili još trebam za mirovanju. Popunite to tako podijeljeno ako portal klijenta ima dva odvojena polja — i provjerite to, jer mnogi formati to imaju, čak i ako originalna lista to postavi kao jedno pitanje.

Dokaz koji odgovara ovome je politika kriptografije: dokument koji navodi koje algoritme i protokole organizacija koristi, za koje kategorije podataka i tko o tome odlučuje. Ako to niste zabilježili, ali ste tehnički primijenjili, tada je odgovor na samo pitanje često i dalje "da", ali nedostaje dokazni materijal koji revizor ili klijent želi vidjeti. To je trenutak da politiku o kriptografiji i enkripciji postavite prije nego što označite polje, ne nakon. Bez te politike, "da, šifriramo" je tehnička tvrdnja bez papirnog pokrića.

Odakle ovo dolazi: članak 21 stavak 2 i Prilog A

Kriptografija i šifriranje su navedeni kao odvojena mjera u članku 21 stavci 2 Direktive NIS2 (Direktiva (EU) 2022/2555), među deset mjera koje entitet minimalno mora poduzeti — nije dakle sporedna stvar pored analize rizika ili reagiranja na incident, već vlastita obavezna kategorija. U ISO/IEC 27001 isti se predmet pojavljuje kao vlastita mjera kontrole u Prilogu A, odvojeno od šire zaštite pristupa. Oni koji rade na sertifikaciji, trebali bi ovo razmotriti odmah zajedno s pitanja jesu li tvrtke ISO 27001-certificiranejer revizor obično ispituje šifriranje kao odvojenu točku kontrole, a ne kao sporedni proizvod nečega drugoga. Nizozemski Zakon o kibernetskoj sigurnosti, koji prosljeđuje ove obveze NIS2, stupa na snagu 15. kolovoza 2026.; do tog datuma sama direktiva je polazna točka, a ne nacionalni zakon.