Dotazník chce vědět, které cloudové služby používáme pro naše data

Poskytovatelé cloudových služeb jsou součástí řetězcového dotazníku

Otázka týkající se používaných cloudových služeb se ve většině dotazníků řadí pod širší téma řízení dodavatelů, nikoliv pod samostatnou část věnovanou "cloudu". Zákazník chce vědět, zda má vaše podnikání přehled o tom, kde jsou obchodní data uložena a kdo k nim má přístup. Konkrétní odpověď: uveďte poskytovatele, kteří zpracovávají osobní údaje nebo obchodní údaje kritické pro provoz (mysleme na velkých poskytovatele cloudových služeb, ale také účetní balíček nebo CRM v cloudu se počítají), a označte, zda k nim existují smluvní dohody o bezpečnosti.

Úplná odpověď se skládá ze dvou částí: jméno poskytovatele a důkaz, že tuto relaci řídíte. Právě tato druhá část je místem, kde se zastavuje většina podnikatelů — ne proto, že cloudové služby nepoužívají, ale protože nemají přehled o tom, které dohody na toto téma byly zaznamenány. Pokud tento přehled chybí, je "ještě k určení" upřímnější odpověď než výčet bez odůvodnění. Toto téma přímo souvisí s otázkou, zda podnik stanovuje bezpečnostní požadavky pro své vlastní dodavatele: poskytovatel cloudových služeb je v tomto smyslu jen prostě dodavatel, a požadavky, které na něj platí — smlouvy, smlouvy o úrovni služeb, dohody o řešení incidentů — jsou přesně to, co se zde požaduje.

Kde se to v směrnici nachází: článek 21 odstavec 2

Článek 21 odstavec 2 Směrnice NIS2 uvádí zabezpečení dodavatelského řetězce, včetně vztahu mezi každou entitou a jejími přímými dodavateli, jako jednu z deseti povinných opatření. Poskytovatelé cloudových služeb spadají pod tento řetězec. ISO/IEC 27001 to dále rozvádí v Příloze A, kde jsou explicitně uvedeny vztahy se dodavateli a správa podnikatelských prostředků — včetně dat u třetích stran; kdo má již proces pro zásady přístupu a správu podnikatelských prostředků proces pro zásady přístupu a správu podnikatelských prostředků, obvykle již také specifikoval, které cloudové služby do něj spadají. Zákon o kybernetické bezpečnosti tuto povinnost převezme, jakmile zákon vstoupí v platnost.