klijen želi znati kako je zaštićen naš davatelj oblačnih usluga, što popunim

Ovo pitanje spada pod nadzor lanca opskrbe, a ne pod vlastitu sigurnost

Ovo spada pod članak 21 stavak 2 točka d NIS2: sigurnost u lancu opskrbe, uključujući odnos s vlastitim dobavljačima. Klijent ovdje ne pita jesu li tvoji sustavi sigurni, već pita znaš li i možeš li dokazati da je tvoj dobavljač u oblaku siguran. To je drugačiji dokaz nego na primjer vlastita politika pristupa ili vlastita politika šifriranja.

Odgovor se obično sastoji od dva sloja. Prvo: jesi li sam postavio zahtjeve za sigurnost tog dobavljača, ugovorima ili tijekom selekcije? Odgovor na to daješ na osnovu vlastite dokumentacije nabave, a ne na osnovu onoga što dobavljač tvrdi. Zatim: što sam dobavljač dokazuje? Zatraži dokaz koji obično već dijeli sa klijentima — ISO 27001 certifikat s izjavom o dosegu, SOC 2 izvješće ili sažetak njegovih NIS2 mjera ako sam pada pod direktivu. Ako taj certifikat nemaš u svojoj dokumentaciji, tada je "ne" ili "nepoznato" odgovor — a ne "da" na osnovu pretpostavke. Ovo je usklađeno s sigurnosni zahtjevi koje poduzeće postavlja vlastitim dobavljačima: taj bi dokaz trebao biti redovito dostupan, čak i ako se radi o jednoj većoj ugovornoj strani u oblaku umjesto dugog lanca dobavljača.

Odakle dolazi dokaz: Prilog A nasuprot ugovoru

ISO/IEC 27001 Prilog A nema odvojene "sigurnosti u oblaku"; dokaz je raspoređen preko mjera kontrole za odnose s dobavljačima i pristup. U praksi to znači: prvo provjeri jesu li utvrđene su politike pristupa i upravljanja poslovnim sredstvima koje se primjenjujujer se u njima često navodi i kako je organiziran pristup okruženju u oblaku. Za samog dobavljača, certifikat ili audit izvješće je mjesto pronalaženja, a ne tvoja izjava o njihovim sustavima — ne možeš naime u ime dobavljača potvrditi što on interno čini.