klientas nori žinoti, kaip apsaugota mūsų debesies tiekėja, ką rašau atsakyme

Šis klausimas patenka į tiekimo grandinės priežiūrą, o ne į jūsų pačių saugumą

Tai priklauso NIS2 21 straipsnio 2 daliai d: saugumas tiekimo grandinėje, įskaitant santykius su jūsų pačių tiekėjais. Klientas čia neklausia, ar jūsų sistemos yra saugios, bet ar jūs žinote ir galite įrodyti, kad jūsų debesų paslaugų teikėjo sistemos yra saugios. Tai yra kitoks įrodymo dokumentas nei, pavyzdžiui, jūsų pačių prieigos politika ar jūsų pačių šifravimo politika.

Atsakymas paprastai susideda iš dviejų sluoksnių. Pirma: ar tu pats nustatei saugumo reikalavimus tam tiekėjui sutartyje arba pasirinkimo metu? Į tai atsakai vadovaudamasis savo pirkimo dokumentu, o ne tuo, ką tiekėjas tvirtina. Tada: ką pats tiekėjas parodo? Paprašyk įrodinėjamojo dokumento, kurį jis normaliai jau dalijasi su klientais — ISO 27001 sertifikato su taikymo sritimi, SOC 2 ataskaitos arba savo NIS2 priemonių santraukos, jei jis pats patenka į direktyvos taikymo sritį. Jei tu neturi to sertifikato savo dokumentuose, tada "ne" arba "nežinoma" yra teisingas atsakymas — o ne "taip" remiantis prielaida. Tai atitinka saugumo reikalavimai, kuriuos įmonė kelia savo tiekėjams: ten jis turėtų standartiškai gulėti šis įrodymas, net jei tai yra viena didelė debesies partija, o ne ilga tiekėjų grandinė.

Kur jis gaunamas: Priedas A prieš sutartį

ISO/IEC 27001 Priedas A neturi atskiro "debesų saugumo" elemento; įrodymai yra išsklaidyti tarp tiekėjų santykių ir prieigos kontrolės priemonių. Praktiškai tai reiškia: pirma patikrinkite, ar jūs patys jau nustatytas, koks prieigos valdymo ir turto valdymo politika galioja, nes ten saugomi ir tai, kaip prieiga prie debesies aplinkos yra reguliuojama. Tiekėjui pačiam sertifikatas ar audito ataskaita yra šaltinis, ne jūsų paaiškinimai apie jo sistemas — juk negalite patvirtinti tiekėjo vardu, ką jis daro viduje.