la liste de questions veut savoir quels services cloud nous utilisons pour nos données

Les fournisseurs de cloud font partie de la question de chaîne

La question sur les services cloud utilisés figure dans la plupart des questionnaires sous le thème plus large de la gestion des fournisseurs, et non sous une section « cloud » séparée. Le client souhaite savoir si votre entreprise a une visibilité sur l'endroit où les données commerciales sont stockées et qui peut y accéder. Réponse concrète : énumérez les fournisseurs qui traitent des données personnelles ou des données critiques pour l'entreprise (pensez aux grands hyperscaleurs, mais aussi un logiciel comptable ou un CRM en cloud compte), et indiquez s'il existe des accords contractuels concernant la sécurité.

Une réponse complète se compose de deux parties : le nom du fournisseur et la preuve que vous maîtrisez cette relation. La deuxième partie est l'endroit où la plupart des entrepreneurs se heurtent à des difficultés — non pas parce qu'ils n'utilisent pas de services cloud, mais parce qu'ils n'ont pas de vue d'ensemble sur les accords conclus à ce sujet. Si cette vue d'ensemble manque, « à déterminer » est une réponse plus honnête que d'énumérer une liste sans justification. Ce sujet touche directement la question de savoir si l'entreprise établit des exigences de sécurité envers ses propres fournisseurs: un fournisseur de cloud est en ce sens simplement un fournisseur, et les exigences qui s'y appliquent — contrats, accords de niveau de service, accords d'incident — sont exactement ce qui est demandé ici.

Où cela figure dans la directive : article 21, paragraphe 2

L'article 21, paragraphe 2, de la directive NIS2 cite la sécurité de la chaîne d'approvisionnement, y compris la relation entre chaque entité et ses fournisseurs directs, comme l'une des dix mesures obligatoires. Les fournisseurs de cloud relèvent de cette chaîne. ISO/IEC 27001 le précise davantage dans l'annexe A, où les relations avec les fournisseurs et la gestion des actifs — y compris les données auprès de tiers — sont explicitement nommées ; quiconque dispose déjà d'un processus pour la politique d'accès et la gestion des actifs, a généralement aussi déjà établi quels services cloud s'y inscrivent. La Loi sur la cybersécurité reprend cette obligation dès que la loi entrera en vigueur.