kupac pita je li naši podaci šifrirani tijekom spremanja i slanja

Šifriranje tijekom pohrane i prijenosa su dvije odvojene točke koje se trebaju potvrditi

Pitanje često sadrži dva podzadatka u jednom: enkripcija "at rest" (pohrana) i "in transit" (prijenos). Odgovorite na njih odvojeno, jer se može desiti da je jedno riješeno a drugo nije — primjerice TLS na svim vezama, ali bez šifriranja temeljne baze podataka. U odgovoru konkretno navedite koji je od ta dva popunjen, umjesto jednog saživetog "da".

Što vam je potrebno da biste potvrdili: protokol koji se koristi za promet podataka (obično TLS 1.2 ili novije) i metoda za pohranu (obično AES-256 ili ekvivalentno). Ako ovo nije navedeno u politici kriptografije, nema ničega za potvrdu — tada je "tek trebam odrediti" ispravna oznaka, a ne nagađanje. To je u skladu s pitanjem ili postoji li politika o upotrebi kriptografije i šifriranja: bez te politike nedostaje izvor na koji se ovaj odgovor može osloniti. Šifriranje se također odnosi na to tko ima pristup ključevima; ako o tome ništa nije navedeno, to je znak da ni politika pristupa nije u potpunosti dovršena.

Zašto se ovo ponovno pojavljuje u članku 21. stavak 2. i Prilogu A

Šifriranje podataka navedeno je kao odvojena mjera u članku 21. stavak 2. Direktive NIS2, između deset mjera navedenih tamo — dakle, ovo nije opća "dobra praksa" već specifična točka procjene. U ISO/IEC 27001 kriptografija se pojavljuje kao vlastita kategorija u Prilogu A, odvojena od kontrole pristupa i odvojena od kontinuiteta. Ta podjela u izvorima je upravo razlog zašto popisi pitanja kupaca često nabrajaju pohranu i prijenos kao dva podzadatka: slijede strukturu temeljne norme.