klausimynas klausia, ar nešiojamieji kompiuteriai yra šifruoti, kaip žinau tikrai

Disko šifravimas yra cryptografijos politikos dalis, o ne atskiras žymimasis langelis

Klausimas apie šifruotus nešiojamuosius kompiuterius yra dalinis klausimas iš platesnio politikos dėl cryptografijos ir šifravimo. Tikrai žinoti, kad nešiojamasis kompiuteris yra šifruotas, praktikoje reiškia: BitLocker (Windows) arba FileVault (macOS) yra centralizuotai taikomas per MDM arba Intune politiką, o ne kaip atskira nustatymas, kurį vartotojas gali pats įjungti ar išjungti. Svarbiausia čia esama įrodymo forma – eksportas iš tos valdymo aplinkos su šifravimo būsena kiekvienam įrenginiui – ne vieno nešiojamojo kompiuterio ekrano kopija. Jei to eksporto neturi, tada "ne" arba "nežinoma" yra sąžiningas atsakymas; atskiras IT politikos dokumentas be įrenginio duomenų neatitinka šio klausimo.

Atkreipkite dėmesį į skirtumą, kurį daro daugelis sąrašų tarp "politikos" ir "taikoma": politikos taisyklė, nurodanti, kad šifravimas yra privalomas, yra kažkas kito nei techninė kontrolė, kuri blokuoja nešifruotus įrenginius prisijungus. Jei jūsų klientas konkretiškai klausia apie "visą disko šifravimą", šifruotas konteinerio aplankas arba tik operacinės sistemos slaptažodis nepriskaitomas. Tai taip pat liečia prieigos politiką ir įmonės turto valdymą: be esamo nešiojamųjų kompiuterių sąrašo (turto valdymo), taip pat negalite įrodyti, kad jie visi šifruoti – galite tik pasakyti, kad politika egzistuoja, o ne kad padengimas yra šimtas procentų.

Kur tai grįžta į NIS2 ir ISO 27001

Cryptografija yra išvardyta kaip atskira priemonė NIS2 direktyvos 21 straipsnio 2 dalyje, remiantis politika dėl cryptografijos naudojimo ir, jei taikytina, šifravimo – viena iš dešimties priemonių, kurias direktyva išvardija. ISO/IEC 27001 standarte tai patenka į Priedo A valdymo priemones, kurios konkretiškai susijusios su cryptografinėmis kontrolėmis. Abu šie kadrų yra reikalingi nustatytas politikos dokumentas ir jo techninis taikymas; taigi vien politikos dokumentas nėra pakankamas įrodymas, techninis taikymas turi tokią pat reikšmę.