klient soovib teada, kuidas meie pilveteenuse pakkuja turvaliseks on tehtud, mida ma sinna täidan

See küsimus kuulub tarneahela järelevalve alla, mitte sinu enda turvalisuse alla

See kuulub NIS2 artikli 21 lõike 2 punkti d alla: turvalisus tarneahelas, sealhulgas suhted oma tarnijatega. Klient ei küsi siin, kas sinu süsteemid on turvalised, vaid kas sa tead ja suudad tõestada, et sinu pilveandmete pakkuja on turvaline. See on erinev tõendidokument võrreldes näiteks sinu enda juurdepääsupolitiika või sinu enda krüpteerimispoliitikaga.

Vastus koosneb tavaliselt kahest kihist. Esiteks: kas seadsid sa ise turvalisuse nõudeid sellele tarnijale, lepinguliselt või valikus? Selle teid sinu enda ostuteabe põhjal, mitte selle põhjal, mida tarnija väidab. Seejärel: mida tõendab tarnija ise? Paluge tõendidokument, mida ta tavaliselt juba jagab klientidega — ISO 27001 sertifikaat koos ulatusdeklaratsiooniga, SOC 2 aruanne või kokkuvõte tema NIS2 meetmetest, kui ta ise jääb direktiivi alla. Kui teil selle sertifikaadi oma teabemajas pole, siis "ei" või "teadmata" on õige vastus — mitte "jah" oletuse alusel. See vastab turvalisuse nõudeid, mida ettevõte oma tarnijaile seab: see tõendidokument kuulub standardselt sinna, isegi kui tegemist on ühe suure pilvetegijaga tavapärase pikka tarneahela asemel.

Kust tõendid pärit on: Lisa A versus leping

ISO/IEC 27001 Lisa A ei sisalda eraldi "pilveturvalisuse" jaotist; tõendid on hajutatud tarnijasuhete ja juurdepääsu haldusmeetmete vahel. Praktikas tähendab see: kontrolli kõigepealt, kas sul endal juba on paika pandud, milline juurdepääsupolitika ja ärivahendite haldamine kehtib, sest selles on sageli kirja pandud ka juurdepääs pilveolukorraks. Tarnija endi puhul on sertifikaat või auditiruPort tõendite allikas, mitte sinu avaldus nende süsteemide kohta — sa ei saa ju tarnija nimel kinnitada, mida ta siseselt teeb.