frågelistan frågar om vår data är krypterad när den lagras hur vet jag det

Kryptering vid vila och under överföring är två olika frågor

Frågan "är data krypterad när den lagras" handlar specifikt om kryptering vid vila vid vila — data på disk, i databasen, i säkerhetskopior. Det är en annan ruta än kryptering under överföring under överföring (TLS vid datatrafik), och många frågelistor frågar om båda separat, även om formuleringen slår ihop dem. Kontrollera därför om frågelistan förväntar ett svar eller faktiskt två separata påståenden att verifiera. För att kunna säga "ja" måste du kunna visa att det gäller för de system som är relevanta för tjänsten till den kunden — inte att det är så överallt i ditt IT-landskap.

Bevis är vanligtvis en av tre saker: en konfigurationsexport eller skärmbild från din molnleverantör (till exempel kryptering vid vila är standardaktiverad vid AWS RDS eller Azure Storage), ett utdrag ur ditt ISO 27001 Statement of Applicability om företaget är ISO 27001-certifierat är, eller ett stycke från din egen krypteringspolicy. Har du ingen separat policy, då är "nej, ingen separat dokumentation" det ärliga svaret — en teknisk åtgärd utan dokumenterad policy bakom är en annan risk än ingen kryptering, och du får göra det skillnaden tydlig i förklaringen. Kryptering tas ofta med i bredare mening under policy för kryptering och kryptering, så om den frågan finns i samma lista använder du samma bevis för båda.

Där detta faller under de tio åtgärderna

Kryptering och krypteringsalgoritmer nämns som separata åtgärder i artikel 21 stycke 2 i NIS2-direktivet, vid sidan av bland annat åtkomstpolicy och incidenthantering. I ISO 27001 Annex A står kryptering som en separat kontrollåtgärd inom krypteringsdomänen — därför att revisorer frågar efter separat bevis för det, även om din allmänna säkerhetspolicy redan täcker ämnet. Omfattas du själv av cybersäkerhetsplagen är detta en av de punkter där du som enhet enligt NIS2-direktivet själv redovisar, inte bara gentemot kunder som frågar.