chiedono in quale paese sono archiviati i nostri dati

La posizione dell'archiviazione cloud rientra nella sicurezza della catena di approvvigionamento, non nella crittografia

Questa domanda rientra nella misura di sicurezza della catena di approvvigionamento di cui all'articolo 21, paragrafo 2, lettera d) della NIS2: i requisiti che l'impresa pone ai propri fornitori, incluso il fornitore di cloud. Il paese di archiviazione non è quindi una domanda di carattere tecnico, bensì di gestione dei fornitori — quali accordi sono stati stipulati con tale fornitore e sono stati documentati. Chi tratta questa domanda come una semplice questione di fatto e compila immediatamente "sì" senza un contratto sottostante, risponde tecnicamente in modo corretto ma manca della documentazione che il cliente in realtà desidera.

Il documento di prova a tal fine è solitamente l'Accordo di trattamento dei dati o l'elenco dei sub-processori del fornitore di cloud, in cui è indicata la posizione dei data center. Se non lo hai a portata di mano, "da determinare" è la risposta corretta qui — non perché debba restare sconosciuto, ma perché nominare un paese senza quel documento è un'ipotesi, non un fatto. La stessa documentazione è rilevante anche per la domanda se l'impresa stabilisce requisiti di sicurezza ai propri fornitori: un DPA con una sede fissa è spesso la prova che tale requisito è stato imposto. Alcuni clienti tuttavia non pongono questa domanda per la posizione stessa, ma per verificare se è stata applicata la crittografia dei dati inattivi — verifica quindi se la domanda non si colloca piuttosto in la política sulla crittografia e la cifratura.

Dove ciò è indicato nella direttiva: articolo 21, paragrafo 2, lettera d)

L'articolo 21, paragrafo 2, lettera d) della NIS2 cita esplicitamente "la sicurezza della catena di approvvigionamento, compresi gli aspetti di sicurezza relativi alle relazioni tra ciascuna entità e i suoi fornitori o prestatori di servizi diretti" come una delle dieci misure obbligatorie. Un fornitore di cloud è uno di questi fornitori di servizi diretti e la posizione dell'archiviazione dei dati è un aspetto di sicurezza di quella relazione. ISO/IEC 27001 Allegato A lo sviluppa ulteriormente con le misure di controllo per le relazioni con i fornitori, il che spiega perché i clienti spesso lo pongono insieme alle domande sulla certificazione — vedi anche se l'impresa è certificata ISO 27001. La legge sulla cibersicurezza recepisce questo obbligo invariato dalla direttiva.