Az ügyfelem azt kérdezi, hogy adataink titkosítva vannak-e tárolás és szállítás során

A tárolás és az átvitel során végzett titkosítás két külön megerősítendő pont

A kérdés gyakran két részleges kérdést tartalmaz egyben: titkosítás "at rest" (tárolás) és "in transit" (átvitel). Válaszoljon rájuk egymástól függetlenül, mivel előfordul, hogy az egyik szabályozott, a másik pedig nem — például TLS minden kapcsolaton, de az alapul szolgáló adatbázis titkosítása nélkül. Az egész válaszban pontosan határozza meg, hogy a kettő közül melyik van kitöltve, ahelyett, hogy egy összefoglaló "igen" válaszokat adna.

Amit meg kell erősítenie: az adatforgalomhoz használt protokoll (általában TLS 1.2 vagy újabb) és a tároláshoz használt módszer (általában AES-256 vagy azzal egyenértékű). Ha ez nincs rögzítve egy titkosítási szabályzatban, nincs mit megerősíteni — akkor az "még meghatározandó" a helyes jelölés, nem pedig egy okos találgatás. Ez összhangban van a kérdéssel hogy van-e szabályzat a kriptográfia és titkosítás használatáról: e szabályzat nélkül hiányzik az a forrás, amelyre ez a válasz támaszkodhat. A titkosítás azt is érinti, hogy kinek van hozzáférése a kulcsokhoz; ha erről semmi nincs rögzítve, az jele annak, hogy az hozzáférési szabályzat még nem teljes.

Miért jelenik meg ez külön az NIS2-irányelv 21. cikk 2. bekezdésében és az A mellékletben

Az adatok titkosítása az NIS2-irányelv 21. cikk 2. bekezdésében felsorolt tíz intézmény közül egy külön intézkedésként szerepel — ez tehát nem általános "jó gyakorlat", hanem egy konkrét értékelési pont. Az ISO/IEC 27001 szabványban a kriptográfia az A melléklet saját kategóriájaként jelenik meg, az hozzáférésvédelemtől és a folytonossági kezeléstől függetlenül. A forrásdokumentumok közötti e különbség pontosan azért van, hogy az ügyfél-kérdőívek a tárolást és az átvitelt gyakran két alkérdésként szerepeltetik: az alapul szolgáló szabvány szerkezetét követik.