zákazník sa pýta, či sú naše údaje šifrované počas skladovania a prenosu

Šifrovanie pri ukladaní a prenose sú dva samostatne potvrdzované body

Otázka často obsahuje dve čiastkové otázky v jednej: šifrovanie "at rest" (ukladanie) a "in transit" (prenos). Odpovedajte na ne oddelene, pretože sa stáva, že jedno je riešené a druhé nie — napríklad TLS na všetkých spojeniach, ale bez šifrovania základnej databázy. V odpovedi konkrétne uvádza, ktorý z týchto dvoch je vyplnený, namiesto jedného zhrnutého "áno".

Čo potrebujete na potvrdenie: protokol používaný na prenos údajov (zvyčajne TLS 1.2 alebo vyšší) a metóda ukladania (zvyčajne AES-256 alebo ekvivalentný). Ak to nie je určené v politike kryptografie, nie je čo potvrdzovať — potom je "ešte sa má určiť" správny názov, nie odhadnutá domnienka. To súvisí s otázkou či existuje politika týkajúca sa používania kryptografie a šifrovania: bez tejto politiky chýba zdroj, na ktorý sa toto odpovede môže opierať. Šifrovanie súvisí aj s tým, kto má prístup ku kľúčom; ak o tom nie je nič určené, je to príznak, že aj politika prístupu ešte nie je úplná.

Prečo sa to objavuje oddelene v článku 21 ods. 2 a v prílohe A

Šifrovanie údajov je uvedené ako samostatné opatrenie v článku 21 ods. 2 smernice NIS2, medzi desiatimi tam uvedenými opatreniami — ide teda nie o všeobecnú "dobrú prax", ale o špecifický bod hodnotenia. V norme ISO/IEC 27001 sa kryptografia objavuje ako samostatná kategória v prílohe A, oddelene od riadenia prístupu a oddelene od kontinuity. Toto rozdelenie v zdrojoch je presne dôvod, prečo si zoznam otázok zákazníkov často kladie ukladanie a prenos ako dve diel-otázky: nasledujú štruktúru podkladovej normy.