klient pyta o zabezpieczenie naszego dostawcy usług w chmurze, co powinienem odpowiedzieć

Dostawca usług w chmurze podlega artykułowi 21 ust. 2 lit. d

Odpowiedz tym, co rzeczywiście możesz uzasadnić: umowne ustalenia z dostawcą usług w chmurze dotyczące bezpieczeństwa oraz ewentualnie certifikat lub raport z audytu, który dostawca ci przekazał. Pytanie dotyczące bezpieczeństwa dostawcy usług w chmurze należy do kategorii bezpieczeństwa dostawców: artykuł 21 ust. 2 lit. d dyrektywy NIS2 wyraźnie wymienia bezpieczeństwo łańcucha dostaw, w tym relacje z dostawcami usług w chmurze. Twój dossier nie musi zatem udowadniać bezpieczeństwa samego dostawcy usług w chmurze — robi to sam dostawca, poprzez własny certifikat lub raport dotyczący przejrzystości. To, co ty musisz móc wykazać, to że zbadałeś to bezpieczeństwo przed przystąpieniem do korzystania z usługi i że powtarzasz to okresowo.

Jeśli nie masz tego dowodu — kopii certyfikatu ISO 27001 dostawcy, raportu SOC 2, klauzuli w umowie dotyczącej obowiązku zawiadomienia w przypadku incydentów — wówczas "nie" lub "nie wykazano" jest prawidłową odpowiedzią, nawet jeśli masz zaufanie do dostawcy. Zaufanie nie jest dowodem. Praktycznie: poproś ten dowód od dostawcy (większe partnerzy chmurowi zazwyczaj mają to standardowo dostępne w centrum zaufania lub podobnym portalu) i umieść go w swoim dossier łańcucha, gdy go masz. To samo pytanie często jest powiązane z wymagania bezpieczeństwa, które stawiasz swoim dostawcom — jeśli tam już masz ustalone zasady, dostawca chmury jest konkretnym przykładem.

Gdzie to znajduje się w dziesięciu środkach

Artykuł 21 ust. 2 NIS2 wymienia dziesięć środków, które musi podjąć podmiot; lit. d dotyczy konkretnie bezpieczeństwa łańcucha dostaw, z wyraźnym odwołaniem do aspektów bezpieczeństwa relacji z dostawcami. ISO/IEC 27001 szczegółowo opisuje to w Załączniku A wśród środków kontrolnych dla relacji z dostawcami, gdzie znajdują się również wymogi dla dostawców usług w chmurze i ICT. Jeśli Twoja własna organizacja sama jest podmiotem regulowanym ustawą o cyberbezpieczeństwie, to nie jest to odrębne pytanie, lecz część zobowiązania — w razie potrzeby to sprawdź u pytanie, czy Twoja organizacja podlega NIS2.