Enkripcija u propisima
- GDPR (čl. 32.) navodi pseudonimizaciju i enkripciju osobnih podataka kao primjere odgovarajućih tehničkih mjera zaštite
- ako su podaci pri povredi bili šifrirani i nerazumljivi neovlaštenim osobama, voditelj obrade ne mora o povredi obavijestiti ispitanike (čl. 34. st. 3.), ali je i dalje mora prijaviti AZOP-u ako postoji rizik za pojedince
- Zakon o kibernetičkoj sigurnosti među mjerama upravljanja kibernetičkim sigurnosnim rizicima navodi politike i postupke u pogledu kriptografije i, prema potrebi, kriptiranja
Vrste
| Vrsta | Što štiti | Primjer |
|---|---|---|
| Enkripcija pohranjenih podataka | podatke na diskovima, u bazama i sigurnosnim kopijama | šifrirani disk prijenosnog računala |
| Enkripcija podataka u prijenosu | podatke koji putuju mrežom | HTTPS veza s web-stranicom |
| Enkripcija s kraja na kraj | poruke koje može pročitati samo pošiljatelj i primatelj | aplikacije za razmjenu poruka |
Dobra praksa
- koristiti provjerene i suvremene algoritme
- ključeve čuvati odvojeno od šifriranih podataka i ograničiti pristup njima
- šifrirati prijenosna računala, mobitele i USB uređaje
- šifrirati sigurnosne kopije
Primjer
Zaposleniku ukradu prijenosno računalo s podacima o klijentima. Disk je šifriran, a ključ nije bio pohranjen uz računalo. Tvrtka procjenjuje rizik i dokumentira povredu, a budući da su podaci nerazumljivi neovlaštenim osobama, klijente ne mora obavijestiti.