clientul vrea să știe cum este asigurat furnizorul nostru de cloud, ce completez acolo

Această întrebare se încadrează în supravegherea lanțului de aprovizionare, nu în securitatea dvs. proprie

Aceasta se regăsește în articolul 21 alineatul 2 litera d NIS2: securitatea în lanțul de aprovizionare, inclusiv relația cu propriii dvs. furnizori. Clientul nu vă întreabă aici dacă sistemele dvs. sunt sigure, ci dacă știți și puteți dovedi că furnizorul dvs. de cloud este. Aceasta este o piesă de probă diferită de, de exemplu, propria dvs. politică de acces sau propria dvs. politică de criptare.

Răspunsul constă de obicei din două nivele. În primul rând: ați stabilit dvs. însuși cerințe de securitate pentru acel furnizor, pe cale contractuală sau în selectare? Răspundeți pe baza propriului dvs. dosar de achiziții, nu pe baza a ceea ce pretinde furnizorul. După aceea: ce demonstrează furnizorul însuși? Solicitați piesa de probă pe care o partajează de obicei deja cu clienții — un certificat ISO 27001 cu declarația de scop, un raport SOC 2, sau o rezumare a măsurilor sale NIS2 dacă el însuși se încadrează în directivă. Dacă nu aveți acel certificat în dosarul dvs., atunci "nu" sau "necunoscut" este răspunsul corect — nu "da" pe baza unei presupuneri. Aceasta se aliniază cu cerințe de securitate pe care întreprinderea le stabilește propriilor sale furnizori: dovada ar trebui să stea acolo în mod standard, chiar dacă este vorba despre o singură mare parte a cloud-ului în loc de un lanț lung de furnizori.

De unde provine dovada: Anexa A versus contractul

ISO/IEC 27001 Anexa A nu are o secțiune distinctă "securitate cloud"; dovada este distribuită pe toate măsurile de control pentru relațiile cu furnizorii și acces. Din punct de vedere practic, aceasta înseamnă: verificați mai întâi dacă dvs. însuși deja au fost stabilite politica de acces și gestionarea bunurilor corporale, pentru că acolo se specifică adesea și cum este reglementat accesul la mediul cloud. Pentru furnizor însuși, certificatul sau raportul de audit este locul unde se găsește, nu o declarație de la dvs. despre sistemele lor — nu puteți confirma în locul furnizorului ce face el intern.