klausimas nori sužinoti, kurias debesies paslaugas naudojame mūsų duomenims

Debesų tiekėjai yra tiekimo grandinės klausimo dalis

Klausimas apie naudojamas debesų paslaugas daugelyje klausimynų patenka į platesnę tiekėjų valdymo temą, o ne į atskirą "debesų" skyrių. Klientas nori žinoti, ar jūsų įmonė turi žinomybę apie tai, kur yra verslo duomenys ir kas jais gali manipuliuoti. Konkretus atsakymas: nurodykite tiekėjus, kurie apdoroja asmenines duomenis ar verslo svarbius duomenis (pagalvokite apie didžiuosius hipermastelių tiekėjus, tačiau ir buhalterinę sistemą ar CRM debesyje paskaičiuoja), ir nurodykite, ar su jais yra susijusios sutartinės saugumo sąlytos.

Visapusiškas atsakymas susideda iš dviejų dalių: tiekėjo pavadinimo ir įrodo, kad jūs tą santykį valdote. Antroji dalis yra vieta, kur daugelis verslininkų sustoja — ne todėl, kad jie nenaudoja debesų paslaugų, o todėl, kad neturi peržvalgos, kokie susitarimai apie tai yra dokumentuoti. Jei to peržvalgos trūksta, "dar neapibrėžta" yra sąžiningesnis atsakymas nei sąrašas be pagrindo. Šia tema tiesiogiai liečiamas klausimas, ar įmonė nustato saugumo reikalavimus savo pačios tiekėjams: debesų tiekėjas tą prasme yra tik įprastas tiekėjas, o reikalavimai, taikomi jam — kontraktai, paslaugų lygio sutartys, incidentų susitarimai — yra visiškai tai, ko čia klausiama.

Tai nurodyta direktyvoje: 21 straipsnio 2 dalis

NIS2 direktyvos 21 straipsnio 2 dalyje nurodomas tiekimo grandinės saugumas, įskaitant kiekvienos subjekto ir jos tiesioginių tiekėjų santykį, kaip vienas iš dešimties privalomų saugumo priemonių. Debesų tiekėjai patenka į tą grandinę. ISO/IEC 27001 tai toliau detalizuoja A priede, kur yra aiškiai nurodyta tiekėjų santykiai ir verslo išteklių valdymas — įskaitant duomenis pas trečiąsias šalis —; jei jūs apie tai jau turite prieigos politikos ir verslo išteklių valdymo procesą, paprastai jau taip pat yra dokumentuota, kurios debesų paslaugos patenka į šią sritį. Kibernetinio saugumo įstatymas prisiima šią pareigą, kai šis įstatymas pradeda galioti.