vprašalnik sprašuje, ali se podatki med prenosom in shranjevanjem šifrirajo

Šifriranje v mirovanju in med prenosom, dve ločeni vprašanji

To vprašanje se običajno razdeli na dva dela, in ravno zato se pogosto odgovori napačno: šifrirani prenos (med prenosom, na primer TLS pri pretoku podatkov) in šifriranje pri shranjevanju (v mirovanju, na primer šifriranje diska ali šifriranje baze podatkov) sta dve različni tehnični ukrepi. »Da« na celotno vprašanje je pravilno samo, če sta oba izpolnjena. Če imate TLS 1.2 ali novejšo različico na vseh zunanjih povezavah, vendar nimate šifriranja na sloju shranjevanja, je odgovor razdeljen: da za prenos, ne ali še nedokončano za mirovanju. To vpišite tudi tako razdeleno, če ima portal odjemalca dve ločeni polji — in preverite to, ker to počnejo številni formati, tudi če je izvirni seznam to navedel kot eno vprašanje.

Dokaz, ki se ujema s tem, je pravilnik o kriptografiji: dokument, v katerem je navedeno, katere algoritme in protokole podjetje uporablja, za katere kategorije podatkov in kdo o tem odloča. Če tega niste beležili, vendar ste tehnično implementirali, je odgovor na samo vprašanje pogosto še vedno »da«, vendar manjka podpora, ki jo revizor ali odjemalec želi videti. To je pravi čas za politiko glede kriptografije in šifriranja da ga pripravite, preden potrditete polje, ne pa po tem. Brez tega pravilnika je »da, šifriramo« tehnična trditev brez pisnega opravičila.

Izvor: člen 21(2) in Annex A

Kriptografija in šifriranje so navedeni kot ločen ukrep v členu 21(2) Direktive NIS2 (Direktiva (EU) 2022/2555), med desetimi ukrepi, ki jih mora sprejeti subjekt — torej ni stranski zadevi poleg analize tveganja ali odziva na incidente, temveč je svoja obvezna kategorija. V standardu ISO/IEC 27001 se ista tematika pojavi kot ločen kontrolni ukrep v Priloги A, ločeno od širše varnosti dostopa. Kdor dela na certificiranju, bi moral to preveriti skupaj s vprašanju ali je podjetje sertificirano po ISO 27001ker revizor običajno preverja šifriranje kot ločeno kontrolno točko, ne kot stranski proizvod nečesa drugega. Nizozemski zakon o kibernetski varnosti, ki pretvarja te obveznosti NIS2, začne veljati 15. avgusta 2026; do tega datuma je sama direktiva začetna točka, ne nacionalni zakon.