ankieta pyta, czy dane są szyfrowane podczas transmisji i przechowywania

Szyfrowanie w spoczynku i w transmisji, dwa osobne pytania

To pytanie zwykle dzieli się na dwie części, i właśnie dlatego jest często błędnie odpowiadane: przesyłanie zaszyfrowane (w transmisji, na przykład TLS przy ruchu danych) i przechowywanie zaszyfrowane (w spoczynku, na przykład szyfrowanie dysku lub szyfrowanie bazy danych) to dwie różne miary techniczne. "Tak" na całe pytanie jest prawidłowe tylko wtedy, gdy obie są spełnione. Jeśli masz TLS 1.2 lub wyższe na wszystkich połączeniach zewnętrznych, ale brak szyfrowania na warstwie przechowywania, odpowiedź jest podzielona: tak dla transmisji, nie lub jeszcze do zrobienia dla spoczynku. Wpisz to w ten sam podzielony sposób, jeśli portal klienta ma dwa osobne pola — i to sprawdź, bo wiele formatów to robi, nawet jeśli oryginalna lista przedstawia to jako jedno pytanie.

Dowodem, który do tego pasuje, jest polityka kryptografii: dokument opisujący, które algorytmy i protokoły organizacja wykorzystuje, dla jakich kategorii danych i kto o tym decyduje. Jeśli nie masz tego udokumentowanego, ale masz to technicznie wdrożone, odpowiedź na pytanie samo w sobie jest często nadal "tak", ale brakuje uzasadnienia, które audytor lub klient chce przy tym widzieć. To jest moment, aby polityka dotycząca kryptografii i szyfrowania opracować przed zaznaczeniem pola, nie po. Bez tej polityki "tak, szyfrujemy" to stwierdzenie techniczne bez dokumentacyjnego poparcia.

Skąd to pochodzi: artykuł 21 ust. 2 i Załącznik A

Kryptografia i szyfrowanie są wymieniane jako osobna miara w artykule 21 ust. 2 dyrektywy NIS2 (Dyrektywa (UE) 2022/2555), wśród dziesięciu miar, które jednostka musi co najmniej podjąć — nie jest to więc sprawa drugorzędna obok analizy ryzyka czy reagowania na incydenty, ale odrębna obowiązkowa kategoria. W ISO/IEC 27001 ten sam temat pojawia się jako osobna miara kontrolna w Załączniu A, niezależnie od szerszej ochrony dostępu. Ci, którzy pracują nad certyfikacją, dobrze zrobią biorąc to pod uwagę razem z pytaniu, czy przedsiębiorstwo posiada certyfikat ISO 27001ponieważ audytor zwykle ocenia szyfrowanie jako osobny punkt kontrolny, a nie jako uboczny produkt czegoś innego. Holenderska Ustawa o bezpieczeństwie cybernetycznym, która transpozycji obowiązki z NIS2, wchodzi w życie 15 sierpnia 2026 roku; do tego czasu dyrektywa sama jest punktem odniesienia, a nie prawo krajowe.