Qв тексте ТЗ есть требование:
- криптографирование тестовых данных в БД
и всё.
Довольно вероятно, что это требование было тупо скопировано из какого-нибудь другого документа, и заказчик сам не знает, что он здесь имеет в виду. Поэтому в любом случае прежде чем что-то предпринимать, надо углубиться: заставить заказчика объяснить, что он хочет, и зафиксировать это объяснение в ТЗ, в той форме, которая позволит более-менее четко проверить, выполнено это требование или нет. Ну и заодно постараться объяснить, что каждое требование стоит денег, и если заказчик не понимает, что он здесь хочет, то лучше убрать, обоим дешевле выйдет.

Главный же риск такого требования - в последующих спорах вокруг него. При столь общей формулировке крайне высок риск последующего "а мы имели в виду вот это - а здесь не написано что так - а здесь не написано что иначе - ...." При этом пофиг что на самом деле написано и кто выиграет, пофиг почему: потому что в любом случае отношения подпортятся, и это выльется в конкретные финансовые потери. Довольно вероятно, что этот пункт станет просто разменной монетой, привлеченной для решения какого-то другого вопроса, типа "если здесь не сделаете как я хочу - я вас по полной промурыжу с криптографией, вы у меня пойдете лицензию в ФСБ получать".