ο πελάτης θέλει να ξέρει πώς είναι ασφαλισμένος ο cloud provider μας, τι συμπληρώνω

Αυτή η ερώτηση εμπίπτει στην εποπτεία της αλυσίδας εφοδιασμού, όχι στην δική σας ασφάλεια

Αυτό σχετίζεται με το άρθρο 21 παράγραφος 2 στοιχείο δ της NIS2: ασφάλεια στην αλυσίδα εφοδιασμού, συμπεριλαμβανομένης της σχέσης με τους δικούς σας προμηθευτές. Ο πελάτης δεν σας ρωτά εδώ εάν τα δικά σας συστήματα είναι ασφαλή, αλλά εάν γνωρίζετε και μπορείτε να αποδείξετε ότι ο δικός σας πάροχος cloud είναι. Αυτό είναι ένα διαφορετικό στοιχείο απόδειξης από το δικό σας δικό πολιτική πρόσβασης ή το δικό σας δικό πολιτική κρυπτογράφησης.

Η απάντηση συνήθως αποτελείται από δύο επίπεδα. Πρώτον: θέσατε εσείς οι ίδιοι απαιτήσεις ασφάλειας σε αυτόν τον προμηθευτή, συμβατικά ή κατά την επιλογή; Απαντάτε σε αυτό βάσει του δικού σας δοσσιέ αγορών, όχι βάσει αυτού που ισχυρίζεται ο προμηθευτής. Στη συνέχεια: τι αποδεικνύει ο ίδιος ο προμηθευτής; Ζητήστε το στοιχείο απόδειξης που συνήθως ήδη ανταλλάσσει με πελάτες — ένα πιστοποιητικό ISO 27001 με δήλωση εμβέλειας, έκθεση SOC 2, ή περίληψη των μέτρων NIS2 του εάν ο ίδιος εμπίπτει στην οδηγία. Εάν δεν έχετε αυτό το πιστοποιητικό στο δοσσιέ σας, τότε «όχι» ή «άγνωστο» είναι η σωστή απάντηση — όχι «ναι» βάσει μιας υπόθεσης. Αυτό συμφωνεί με απαιτήσεις ασφάλειας που η επιχείρηση θέτει στους δικούς της προμηθευτές: εδώ η απόδειξη αυτή πρέπει να βρίσκεται κατά κανόνα, ακόμα και αν πρόκειται για έναν μεγάλο πάροχο cloud αντί για μια μεγάλη αλυσίδα προμηθευτών.

Από πού προέρχεται η απόδειξη: Annex A έναντι του συμβολαίου

Το ISO/IEC 27001 Annex A δεν έχει ένα ξεχωριστό τμήμα «ασφάλεια cloud»· η απόδειξη είναι διασκορπισμένη στα μέτρα ελέγχου για σχέσεις με προμηθευτές και πρόσβαση. Πρακτικά, αυτό σημαίνει: ελέγξτε πρώτα εάν έχετε ήδη καθοριστεί ποια πολιτική πρόσβασης και διαχείρισης περιουσιακών στοιχείων της επιχείρησης ισχύει, διότι συχνά καθορίζεται σε αυτήν και πώς ρυθμίζεται η πρόσβαση στο περιβάλλον cloud. Για τον ίδιο τον προμηθευτή, το πιστοποιητικό ή η έκθεση ελέγχου είναι η πηγή αναφοράς, όχι δήλωση από εσάς σχετικά με τα συστήματα του — δεν μπορείτε ωστόσο να επιβεβαιώσετε εκ μέρους του προμηθευτή τι κάνει εσωτερικά.