upitnik želi znati koje oblačne usluge koristimo za naše podatke

Pružatelji usluga u oblaku dio su pitanja lanca opskrbe

Pitanja o korištenim servisima u oblaku u većini upitnika spadaju pod šire područje upravljanja dobavljačima, a ne pod odvojeni dio „oblaka‟. Vaš kupac želi znati ima li vaša tvrtka uvid u to gdje se poslovni podaci nalaze i tko je pri tome uključen. Konkretan odgovor: navedite pružatelje koji obrađuju osobne podatke ili kritične poslovne podatke (mislite na velike hiperscale pružatelje, ali i računovodstveni paket ili CRM u oblaku računa se), i navedite jesu li za to predviđeni ugovorne odredbe o sigurnosti.

Potpun odgovor sastoji se od dva dijela: naziv pružatelja i dokaz da upravljate tom vezom. Drugi je dio gdje većina poduzetnika zapne — ne zato što ne koriste usluge u oblaku, već zato što nemaju pregled koje su odredbe zabilježene o tome. Ako taj pregled nedostaje, „predmet je još određivanja‟ iskreniji je odgovor nego popis bez dokazne osnove. Ova tema direktno se tiče pitanja je li poduzeće postavlja zahtjeve zaštite svojim vlastitim dobavljačimacloud dobavljač u tom smislu jednostavno dobavljač, a zahtjevi koji se na njega primjenjuju — ugovori, sporazumi o razini usluge, dogovori o incidentima — točno su ono što se ovdje traži.

Gdje je to navedeno u direktivi: članak 21. stavak 2

Članak 21 stavak 2 Direktive NIS2 navodi sigurnost opskrbnog lanca, uključujući odnos između svake entitete i njezinih izravnih dobavljača, kao jednu od deset obveznih mjera. Pružatelji usluga u oblaku spadaju u taj lanac. ISO/IEC 27001 to dalje razrađuje u Prilogu A, gdje su odnosi s dobavljačima i upravljanje poslovnom imovinom — uključujući podatke kod trećih strana — eksplicitno navedeni; tko za to već ima proces za pravilnik o pristupu i upravljanje poslovnom imovinom, obično je već utvrdio koje su usluge u oblaku uključene u to. Zakon o kibernetskoj sigurnosti preuzima ovu obvezu čim taj zakon stupi na snagu.