il questionario chiede dove e come immagazziniamo i dati del cliente

Ubicazione e metodo di archiviazione: parte dell'articolo 21, non solo del GDPR

La domanda su dove e come archivi i dati del tuo cliente arriva spesso come domanda sulla privacy, ma in un questionario NIS2 rientra nelle dieci misure dell'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555. In particolare, la lettera h (sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi) e la lettera i (politica del personale e politica di accesso) riguardano direttamente l'archiviazione: dove si trovano fisicamente o virtualmente i dati, chi può accedervi, e se tale archiviazione è crittografata. Una risposta completa nomina quindi tre cose: l'ubicazione (data center interno, provider cloud, quale regione), la separazione tra ambienti dei clienti se lavori in multi-tenant, e la crittografia dei dati at rest e in transito.

Se non hai a portata di mano quest'ultimo aspetto, la risposta non è spuntare "sì" ma prima verificare cosa la política sulla crittografia e la cifratura all'interno dell'azienda è effettivamente documentato. Molte aziende crittografano i dati in transito (TLS) ma non sempre at rest, e il cliente spesso richiede questa differenza separatamente. Se lavori con un provider cloud esterno, anche questo rientra nella domanda se vengono stabiliti requisiti di sicurezza nei confronti dei propri fornitori — l'ubicazione dell'archiviazione è allora effettivamente un accordo di catena con quel provider, e la tua risposta può fare riferimento al contratto o al SLA con quella parte invece che all'infrastruttura interna.

Dove questo viene verificato in ISO 27001

Chi è certificato ISO/IEC 27001 ha già documentato ubicazione dell'archiviazione e crittografia nelle misure dell'Allegato A sulla crittografia e sulla gestione dei beni; la risposta a questa domanda può quindi semplicemente fare riferimento al certificato e alla relativa Dichiarazione di applicabilità. Senza quel certificato ISO 27001 la risposta deve provenire dalla documentazione interna: una panoramica dell'architettura, un accordo di responsabile del trattamento con il provider cloud, oppure una nota interna sulla residenza dei dati.