klients jautā par mūsu mākoņa piegādātāja drošību, ko man jāatbild

Mākoņa pakalpojuma sniedzējs ietilpst artikel 21 2. punktā apakšpunkts d

Atbildiet ar to, ko jūs faktiski varat pamatot: līgumsaruna par drošību ar jūsu mākoņa pakalpojuma sniedzēju un iespējams sertifikātu vai revīzijas atskaiti, ko sniedzējs jums ir devis. Jautājums par jūsu mākoņa pakalpojuma sniedzēja drošību ietilpst piegādātāja drošības kategorijā: artikel 21 2. punktā apakšpunkts d NIS2 tieši nosaka piegādes ķēdes drošību, tostarp attiecības ar mākoņa pakalpojumu piegādātājiem. Tātad jūsu dossier nevar pierādīt mākoņa pakalpojuma sniedzēja pašas drošību — to dara pats sniedzējs, izmantojot savu sertifikātu vai pārredzamības ziņojumu. Tas, ko jums jāspēj parādīt, ir tas, ka jūs šo drošību pārbaudījāt pirms pakalpojuma pieņemšanas un to periodiski atkārtojat.

Ja jums nav šāda pierādījuma — nav ISO 27001 sertifikāta kopijas no piegādātāja, nav SOC 2 atskaites, nav kontraktā nosacījuma par paziņošanas pienākumu incidentu gadījumā — tad "nē" vai "nav pierādīts" ir pareizā atbilde, pat ja jums ir labas cerības uz piegādātāju. Uzticēšanās nav pierādījuma dokuments. Praktiski: prasiet šo pierādījumu pie piegādātāja (lielākie mākoņa partneri parasti to standarta veidā pieejamo uzticamības centrā vai līdzīgā portālā) un ievietojiet to savā ķēdes dossiē, tiklīdz to saņemsiet. Tas pats jautājums bieži ir saistīts ar drošības prasībām, ko jūs sniedzējiem nosakāt — ja jums tam jau ir noteikts politika, mākoņa piegādātājs ir konkrēts tā piemērs.

Kur tas ir desmit pasākumos

Artikel 21 2. punkts NIS2 uzskaitīja desmit pasākumus, ko subjektam jāņem; apakšpunkts d īpaši attiecas uz piegādes ķēdes drošību ar skaidru atsauci uz drošības aspektiem attiecībā ar piegādātājiem. ISO/IEC 27001 to izstrādā Pielikumā A pēc vadības pasākumiem piegādātāju attiecībām, kas ietver arī prasības mākoņa un IKT pakalpojumu sniedzējiem. Ja jūsu uzņēmums pats ir subjekts saskaņā ar Kiberdrošības likumu, tad tas nav atsevišķs jautājums, bet pienākuma daļa — ja nepieciešams, pārbaudiet to pie jautājuma, vai jūsu uzņēmums ietilpst NIS2.