Os dados da [ASP] da sessão do ASP.NET precisam ser criptografados para garantir a segurança?

Se esses dados sempre permanecerem no servidor, isso não torna seguro armazenar informações de cartão de crédito, senhas, etc., desde que os dados tenham sido enviados via SSL do cliente?