lista de întrebări cere dacă datele noastre sunt criptate stocate cum știu asta

Criptarea în repaus și în tranzit sunt două întrebări diferite

Întrebarea "sunt datele criptate în repaus" se referă în mod specific la criptare în repaus — date pe disc, în baza de date, în copii de rezervă. Acesta este un alt punct decât criptarea în tranzit (TLS la transferul de date), și multe liste de întrebări solicită ambele separat, chiar și atunci când formularea le combină. Verifică deci dacă lista de întrebări așteaptă un singur răspuns sau de fapt două afirmații separate care trebuie verificate. Pentru "da" trebuie să poți demonstra că se aplică sistemelor relevante pentru serviciul furnizat acelui client — nu că se aplică peste tot în peisajul tău IT.

Dovada este de obicei una din trei lucruri: o export de configurație sau o captură de ecran din furnizorul tău cloud (de exemplu, criptarea în repaus activată implicit la AWS RDS sau Azure Storage), un extras din declarația ta ISO 27001 Statement of Applicability dacă organizația este certificată ISO 27001 este, sau o pasaj din propria ta politică de criptografie. Dacă nu ai o politică separată, atunci "nu, niciun document separat" este răspunsul onest — o măsură tehnică fără o politică documentată în spatele ei este un risc diferit decât absența criptării, și poți face această distincție în explicații. Criptarea este des inclusă în sens mai larg sub politica privind criptografia și criptarea, deci dacă acea întrebare se află în aceeași listă, folosești aceeași dovadă pentru ambele.

Unde cade aceasta în cele zece masuri

Criptografia și criptarea sunt menționate ca măsuri separate în articolul 21 alineatul 2 al Directivei NIS2, alături de alte măsuri cum ar fi politica de acces și gestionarea incidentelor. În ISO 27001 Annex A, criptarea apare ca o măsură de control separată în domeniul criptografiei — de aceea auditorii solicită dovezi separate pentru ea, chiar dacă politica generală de securitate a subiectului deja menționează subiectul. Dacă cazi tu sub Legea privind securitatea cibernetică, aceasta este unul din punctele pe care tu ca entitate sub Directiva NIS2 raportezi singur, nu doar către clienții care o solicită.