kund frågar om vår data är krypterad under lagring och överföring

Kryptering under lagring och transport är två separata punkter att bekräfta

Frågan innehåller ofta två delfrågor i en: kryptering "at rest" (lagring) och "in transit" (överföring). Besvara dem separat, eftersom det förekommer att den ena är ordnad men inte den andra — till exempel TLS på alla anslutningar, men ingen kryptering av den underliggande databasen. Ange konkret i svaret vilken av de två som är ifylld, i stället för ett sammanfattande "ja".

Vad du behöver för att bekräfta: det protokoll som används för datatrafik (vanligtvis TLS 1.2 eller högre) och metoden för lagring (vanligtvis AES-256 eller motsvarande). Om detta inte är fastställt i en krypteringspolicy finns det ingenting att bekräfta — då är "återstår att fastställa" rätt etikett, inte en utbildad gissning. Detta ansluter till frågan om det finns policy för användning av kryptografi och kryptering: utan denna policy saknas grunden som detta svar kan stödjas på. Kryptering är också kopplad till vem som har tillgång till nycklarna; om ingenting är fastställt om detta är det en indikation på att åtkomstpolicyn ännu inte är fullständig.

Varför detta återkommer i artikel 21 punkt 2 och Annex A

Kryptering av data nämns som en separat åtgärd i artikel 21 punkt 2 i NIS2-direktivet, bland de tio åtgärder som anges där — detta är således inte en allmän "god praxis" utan en specifik bedömningspunkt. I ISO/IEC 27001 återkommer kryptografi som egen kategori i Annex A, separat från åtkomsthantering och separat från kontinuitet. Denna uppdelning i källorna är precis anledningen till att kundfrågeformulär ofta ställer lagring och överföring som två underfrågor: de följer strukturen i den underliggande standarden.